#LayerZeroCEOAdmitsProtocolFlaws #LayerZeroCEOAdmitsProtocolFlaws

الرئيس التنفيذي لـLayerZero يعترف بفشل البروتوكول بعد اختراق $292M — لكن Kelp DAO تقول "لقد وافقت على الإعداد الذي تلومه الآن"
لأسابيع، وجهت LayerZero أصابع الاتهام إلى Kelp DAO بشأن الاختراق الذي بلغت قيمته 292 مليون دولار والذي هز عالم التمويل اللامركزي. "استخدموا تكوين موثّق واحد-لواحد — لقد حذرنا من ذلك." كانت هذه هي الرواية. لكن الآن، اعترف الرئيس التنفيذي لـLayerZero بريان بيليجرينو علنًا بوجود قصور على مستوى البروتوكول، متعهدًا بإعادة هيكلة أمنية كاملة. وKelp DAO أصدرت أدلة قد تقلب لعبة اللوم بأكملها رأسًا على عقب.
دعني أشرح لماذا هذا الأمر مهم لكل جسر عبر السلاسل وثقته من قبل.
🔥 الاعتراف الذي غير كل شيء
في 4 مايو، نشر بيليجرينو بيانًا عامًا يعترف فيه بفشل بروتوكول LayerZero بعد استغلال Kelp DAO، ملتزمًا بإعادة هيكلة أمنية شاملة. هذا تحول كبير عن تقرير ما بعد الوفاة الذي أصدرته LayerZero في 20 أبريل، والذي صور الهجوم كأنه فشل في تكوين "على مستوى التطبيق" من قبل Kelp DAO — وليس مشكلة على مستوى البروتوكول.
لماذا هذا التحول؟ لأن الأدلة كانت تصبح من المستحيل تجاهلها.
🔍 رد Kelp DAO المدمر
في 5 مايو، نشرت Kelp DAO ردًا مفصلًا يتناقض مباشرة مع الادعاء الأساسي لـLayerZero. إليك ما كشفوا عنه:
1. وافقت LayerZero على إعداد الموثّق 1-ل-1 الذي يلومونه الآن، وشاركوا لقطات شاشة من اتصالات خاصة مع أعضاء فريق LayerZero حيث قال أحد موظفي LayerZero صراحة: "لا مشكلة في استخدام الإعدادات الافتراضية أيضًا — فقط أدرج [redacted] هنا لأنه ذكر أنك قد ترغب في استخدام إعداد DVN مخصص للتحقق من الرسائل، لكن سأترك ذلك لفريقك!" الإعدادات "الافتراضية" المشار إليها كانت تكوين DVN الخاص بـLayerZero Labs 1-ل-1 — نفس الإعداد الذي أشار إليه LayerZero لاحقًا باعتباره الثغرة الحرجة التي سمحت بالاختراق.
2. كانت التكوين "الخطير" هو الإعداد الافتراضي الذي أرسلته LayerZero، والذي وصفته Kelp بأنه خيار هامشي وغير مسؤول. حجّة Kelp: كان هذا هو الإعداد الافتراضي القياسي للمنصة، ويستخدمه مئات التطبيقات الأخرى عبر النظام البيئي. إذا كانت معظم تكاملات LayerZero تستخدم 1-ل-1، فإن وصفه بأنه "خطأ من المستخدم" عند فشله يشبه بيع سيارة بدون وسائد هوائية ثم لوم السائق لعدم تثبيتها بعد السوق.
3. تم اختراق بنية LayerZero التحتية. نجح الهجوم لأن المهاجمين اخترقوا عقدي RPC اثنين اعتمد عليهما موثّق LayerZero وشنوا هجمات DDoS على البقية. تم اختراق بنية DVN الخاصة بـLayerZero — النظام المصمم للتحقق من الرسائل عبر السلاسل. وذكر Zach Rynes، مسؤول المجتمع في Chainlink، ذلك مباشرة: "LayerZero يتهرب من المسؤولية بأن بنية عقدة DVN الخاصة بهم تعرضت للاختراق وتسببت في استغلال جسر $290M ."
4. أربعة أسئلة لم تُجب عنها Kelp DAO. طرحت Kelp أسئلة محددة لم تجب عنها LayerZero علنًا: كيف تم الوصول إلى قوائم نقاط النهاية RPC؟ كيف تتوافق الإعدادات الافتراضية الموثقة من LayerZero مع العدد الهائل من تكوينات 1-ل-1 عبر النظام البيئي؟ لماذا فشل المراقبة في اكتشاف الاختراق في البنية التحتية؟ كم كانت مدة بقاء العقد المخترقة قبل توقيع الرسالة المزورة؟
هذه ليست أسئلة بلاغية — إنها مطالب بمساءلة تجعل اعتراف LayerZero بعيوب البروتوكول أكثر صعوبة في التهرب منها الآن.
🧠 الدرس الحقيقي: مخاطر الكود مقابل المخاطر التشغيلية
تحليل الأمان من OpenZeppelin أشار إلى نقطة غفل عنها معظم الناس: لم يكن هناك خطأ في العقود الذكية لـKelp DAO. الكود تم تدقيقه وكان سليمًا. ما فشل هو الإعداد التشغيلي والتكاملي حول بنية الجسر — شيء يقع خارج مراجعات الكود والتدقيق التقليدية.
هذا هو التمييز الذي نادراً ما يتحدث عنه الصناعة. يمكنك أن تمتلك عقودًا مدققة بشكل مثالي ومع ذلك تخسر 292 مليون دولار إذا كانت طبقة البنية التحتية التي تحتها تحتوي على نقطة فشل واحدة. يعتمد نموذج LayerZero على شبكات الموثّق اللامركزية (DVNs) — لكن عندما يكون الإعداد الافتراضي هو 1-ل-1 (موثّق واحد = شركة LayerZero نفسها)، فإن "اللامركزية" تصبح كلمة تسويقية، وليست واقعًا أمنيًا. عقدة واحدة مخترقة. رسالة مزورة واحدة. 292 مليون دولار ضاعت.
📊 تأثير سعر ZRO — السوق يصوت
يتداول ZRO عند 1.395 دولار، بانخفاض -5.1% خلال 24 ساعة و-29.6% خلال 30 يومًا. الصورة الفنية تحكي قصة واضحة:
المتوسطات المتحركة اليومية في اتجاه هبوطي كامل (MA7 < MA30 < MA120) — اتجاه هبوطي مستمر
مؤشر PDI أقل من MDI مع ADX عند 34.4 — زخم هبوطي قوي
يتراجع بنسبة -4.4% مقارنة بـBTC اليوم — أداء ضعيف ملحوظ
انخفضت الفائدة المفتوحة للعقود الآجلة بنسبة -11.6% خلال 24 ساعة — يتم تصفية المراكز، وليس بناؤها
لكن: تشكل تقاطع ذهبي على MACD اليوم (DIF عبر فوق DEA) وCCI/WR لمدة 15 دقيقة في مناطق البيع المفرط — هناك إمكانية لارتداد قصير المدى
السوق يقيّم الضرر السمعة وعدم اليقين. اعتراف الرئيس التنفيذي لـLayerZero بعيوب البروتوكول خطوة نحو المساءلة، لكن أدلة Kelp DAO تثير سؤالًا أصعب: هل كان الأمر دائمًا مجرد "خطأ في تكوين المستخدم"، أم أن التصميم الافتراضي للبروتوكول كان غير آمن من البداية؟
⚡ ماذا يعني هذا للبنية التحتية عبر السلاسل
1. الإعدادات الافتراضية أكثر أهمية من التوثيق. إذا أرسل بروتوكول موثّق 1-ل-1 كإعداد افتراضي، فذلك ليس توصية — بل هو مستوى الأمان الذي يقدمه فعليًا. التوثيق الذي يقول "يجب عليك تكوين موثّق متعدد" لا يحمي المستخدمين الذين يتبعون الإعدادات الافتراضية الموثقة. الأمان الحقيقي للنظام يُحدد بما يفعله معظم المستخدمين، وليس بما تقول الوثائق أنه يمكنهم فعله.
2. مخاطر البنية التحتية غير مرئية حتى تنفجر. تدقيق العقود الذكية يكتشف أخطاء الكود. لكنه لا يكتشف عقد RPC مخترقة، أو مدققين يتعرضون لهجمات DDoS، أو نقاط ثقة واحدة في طبقات الرسائل. الاختراق الكبير التالي في التمويل اللامركزي لن يأتي من ثغرة في الكود — بل من البنية التحتية التشغيلية التي تعتمد عليها العقود ولا يمكنها السيطرة عليها.
3. لا يمكن أن تكون المساءلة عكسية. اعتراف الرئيس التنفيذي لـLayerZero مرحب به، لكنه جاء بعد أسابيع من محاولة التملص من المسؤولية إلى Kelp DAO. لو جاء الاعتراف في 20 أبريل مع تقرير ما بعد الوفاة — بدلاً من رواية "Kelp أعدّها بشكل خاطئ" — لكانت استجابة المجتمع مختلفة جدًا. الثقة تُبنى خلال الـ 48 ساعة الأولى بعد الأزمة، وليس في الأسبوع الثالث.
4. هجرة Kelp DAO إلى Chainlink CCIP هي حكم السوق. أعلنت Kelp أنها ستنقل rsETH من معيار LayerZero OFT إلى بروتوكول التفاعل عبر السلاسل من Chainlink. عندما يترك أكبر شريك تكامل لديك بروتوكولك بعد استغلال، فذلك ليس مجرد قرار تجاري — إنه حكم أمني من شخص اختبر نظامك في ظروف حقيقية ووجد أنه غير كافٍ.
💡 الخلاصة
اعتراف الرئيس التنفيذي لـLayerZero بعيوب البروتوكول خطوة ضرورية — لكنها ليست إلا الخطوة الأولى. الاختبار الحقيقي هو ما إذا كان بإمكان LayerZero الإجابة على الأسئلة الأربعة لـKelp DAO علنًا، وإعادة هيكلة إعداداته الأمنية الافتراضية، وإعادة بناء الثقة مع المدمجين الذين بدأوا يتساءلون عما إذا كانت "اللامركزية في الموثّق" تعني شيئًا عندما يكون الافتراضي هو شركة واحدة تتحقق من كل شيء.
خُسِر 292 مليون دولار. لا عيوب في العقود. الثغرة لم تكن في الكود — كانت في نموذج الثقة. وكل جسر عبر السلاسل يستخدم بنية مماثلة يجب أن يطرح على نفسه نفس السؤال الآن.
هل يجب أن يُحاسب منشئو البروتوكولات على الإعدادات غير الآمنة، أم أن المسؤولية دائمًا تقع على المستخدم لتكوين ما يتجاوز ما يُشحن معه؟ هذا النقاش قد يعيد تشكيل كيفية تصميم كل بروتوكول جسر لهيكله الأمني — شارك موقفك أدناه 👇
‍@Gate_Square
‍$ZRO $ETH