在以太坊安全社区 Telegram 群组中，LayerZero 的联合创始人兼首席执行官 Bryan Pellegrino 与安全研究人员之间爆发了一场激烈的辩论。辩论的焦点在于 LayerZero Labs 可以升级一个默认库合约，而无需设置时间锁，这使得价值超过 30 亿美元的 LayerZero Omnichain 同质化代币 (LZ OFT) 面临类似近期 rsETH 黑客事件的风险。
Spark：默认库存在漏洞
安全研究人员指出，LayerZero 的默认库合约允许团队进行即时升级，而且没有任何延迟机制，例如时间锁。利用这种设置，团队成员可以伪造跨链消息，从而模仿 rsETH 漏洞，攻击者通过伪造验证来窃取资金。
据研究员 Banteg 称，Ethena 和 EtherFi 等项目几周前还在使用这个默认库。即使现在，链上数据显示，如果 LayerZero Labs 的控制权被滥用，来自各个项目的 1.78 亿美元资产仍面临这种风险。
Yearn 的开发者 Banteg 的警告加剧了这一问题，他指出许多协议仍然严重依赖 LayerZero 默认的 3/5 多重签名机制。他认为，依赖默认接收库且缺乏更强力保护的项目会面临不必要的风险，因为 LayerZero 的多重签名机制一旦遭到破坏，攻击者就可能瞬间耗尽所有连接的适配器。
在 Kelp 漏洞利用之后，Banteg 估计，易受攻击的适配器最初可能造成约 31.3 亿美元的潜在损失，不过在一些项目加强了配置之后，这一数字后来大幅下降。
尽管取得了这些进展，但他强调许多协议仍然存在漏洞。Banteg 发布了针对这些集成安全性的具体技术指南，将讨论的焦点从理论转向了可操作的风险，重新引发了人们对 LayerZero 集中式依赖项的担忧。
LayerZero无需恶意行事即可引发危险，其系统一旦遭到入侵，就可能导致所有依赖项目的供应链遭受攻击。这与以往的审计结果相符，审计报告指出LayerZero的Endpoint和UltraLightNode合约中存在类似的受信任方风险。
多重签名者卷入高风险活动
链上证据表明，LayerZero Labs 的生产级多重签名器（旨在保护数十亿美元的资产）被用于高风险的个人活动。这些活动包括在Uniswap上交易 memecoin McPepes (PEPES)、进行去中心化交易所 (DEX) 互换以及桥接资产，并将密钥暴露给钓鱼网站。
Chainlink社区成员Zach Rynes在X（前身为Twitter）上公开批评了此事。他称这是基本操作安全和密钥隔离的彻底失败，引发了人们对供应链攻击的担忧。
LayerZero 的 Bryan 声称他们正在测试“ $ Pepe的 OFT 集成”，但批评人士指出， $ Pepe甚至尚未部署，而且 McPepes 是完全不同的代币。这种对生产密钥管理不善的做法解释了他们之前在朝鲜遭受黑客攻击的漏洞，当时 Lazarus Group 通过被入侵的 RCP 对他们发起了攻击。
LayerZero的安全问题历史
LayerZero Labs因安全漏洞屡遭审查。朝鲜黑客成功入侵其基础设施，在KelpDAO rsETH漏洞利用中伪造RPC数据，窃取了2.9亿至2.92亿美元，LayerZero将此归咎于Kelp的单一DVN设置。
过去的报告，例如 ZeroValidation，详细描述了多重签名漏洞，允许在没有任何适当签名的情况下发送任意消息，迁移到其他平台的项目将这些漏洞视为中心化风险蔓延到用户资金的迹象。
rsETH 黑客事件表明，配置不足会加剧风险，LayerZero 在事件发生后暂停了单验证器应用程序的签名功能。批评人士认为，默认设置会将用户推入危险的路径，而没有发出明确的警告。
Bryan 与研究人员：Telegram 上的冲突
在 ETHSecurity Telegram 群组的讨论中，Bryan 为 LayerZero 辩护，但研究人员反驳了该库的风险和多重签名滥用问题。他们强调，与去中心化交易所 (DEX) 和模因币交易关联的生产密钥极易被用作钓鱼诱饵，尤其是在朝鲜数据泄露事件之后。Bryan 驳斥了部分说法，但该团队强调了超过 30 亿美元的 OFT 风险敞口。
影响者反弹和项目变更
另一位加密货币领域的影响者 Ed 在 X 上发帖称，该协议的捍卫者忽略了一个重大问题，即其自身的中心化基础设施已被破坏。
KelpDAO 在 4 月 18 日 LayerZero 漏洞利用事件发生后，宣布将 rsETH 迁移到Chainlink CCIP，原因是担心基础设施安全以及生态系统存在未解决的问题。
Solv 协议随后进行了更大规模的迁移。在完成安全审查后，该协议正将价值超过 7 亿美元的 SolvBTC 和 xSolvBTC 生态系统从 LayerZero 网桥迁移出去。
这些接连不断的迁移共同凸显了行业正在发生的转变，即主要协议越来越重视更强大的安全保障、主动监控和机构级跨链基础设施。
这些迁移表明，人们越来越倾向于更安全的跨链解决方案， Chainlink 的资产规模也因此增长了近 10 亿美元。Yearn 的 Banteg 和 Zach Rynes 等业内人士也表达了对 LayerZero 的担忧，并呼吁制定更严格的安全标准。
对跨链安全性的更广泛影响
LayerZero 的 OFT（全链同质化代币）标准采用销毁-铸造系统，支持数十亿美元的跨链代币转移。该系统中，代币在一个链上销毁，然后在另一个链上重新创建。虽然这种模式帮助许多项目实现了跨链扩展，但其默认的安全设置引发了严重的担忧。
在许多情况下，安全防护高度依赖于 LayerZero Labs 的多重签名基础设施，这意味着少数密钥持有者可以控制关键操作。如果这些密钥泄露或内部系统遭到入侵，用户资金和协议安全都可能面临风险。
安全专家还指出，LayerZero 的一些库缺乏更强大的升级保护或去中心化安全措施，这削弱了人们对其模块化桥接设计的信任。
因此，一些项目现在正在重新考虑他们对 LayerZero 的依赖，并转向Chainlink CCIP 等替代方案，这些替代方案越来越被认为更加安全。
这一转变凸显了加密行业一个更重要的教训：仅仅依靠强大的代码是不够的。协议还需要更好的运行安全性，包括时间锁、隔离的密钥管理以及默认启用多个独立的验证者。
对于用户而言，真正的危险通常不仅来自智能合约漏洞，还来自幕后的集中式基础设施和糟糕的安全措施。
