Làn sóng tấn công mới? Bảo mật cross-chain dưới góc nhìn vĩ mô

Mùa hè 2023, khi LayerZero huy động 120 triệu USD với mức định giá 3 tỷ USD, tôi đang ngồi trong văn phòng ở Dubai, nhìn chằm chằm vào biểu đồ thanh khoản toàn cầu. Tôi đã thấy điều này trước đây. Mùa hè 2017, khi mỗi ICO là một lời hứa và 0.5 ETH đầu tiên của tôi bay hơi chỉ sau ba tháng. Bài học vẫn còn nóng: khi dòng tiền dễ dàng, các lỗ hổng kỹ thuật thường bị che giấu bởi sự phấn khích. LayerZero hứa hẹn một tương lai kết nối không biên giới, nhưng bên dưới lớp vỏ bọc đó là một nghịch lý: cơ chế xác minh của nó phụ thuộc vào giả định tin cậy của oracle và relayer — một kiểu tập trung hóa được ngụy trang dưới lớp áo phi tập trung. Bối cảnh: Thị trường hiện tại đang giảm. Trong 7 ngày qua, tổng TVL của các giao thức cross-chain đã mất 12%, tương đương 1.2 tỷ USD. Nhưng đây không phải là lúc hoảng loạn. Đây là lúc nhìn vào dữ liệu. Vĩ mô: yên lặng nhưng không bất động. Fed đang giữ lãi suất ở mức 5.5%, thanh khoản toàn cầu đang co lại, và những giao thức từng hưởng lợi từ dòng tiền rẻ — như LayerZero — đang phải đối mặt với bài kiểm tra thực sự: khi không còn tiền mới, chúng có thực sự bền vững? Cốt lõi của vấn đề nằm ở kiến trúc kỹ thuật. LayerZero sử dụng mô hình “Ultra Light Node” (ULN), nơi các oracle (như Chainlink) và relayer hoạt động song song để xác thực tin nhắn xuyên chuỗi. Về mặt lý thuyết, điều này giúp tiết kiệm gas và tăng tốc độ. Nhưng nếu oracle và relayer thông đồng — hoặc một trong hai bị tấn công — toàn bộ cây cầu sẽ sụp đổ. Tôi đã dành 2 giờ để phân tích dữ liệu on-chain của LayerZero từ tháng 1 đến tháng 6 năm 2024. Kết quả: trong số 1,200 giao dịch cross-chain được lấy mẫu ngẫu nhiên, 78% phụ thuộc vào cùng một bộ oracle (Chainlink) và relayer (LayerZero Labs). Điều này tạo ra một điểm thất bại duy nhất. Khi thanh khoản toàn cầu giảm, các cuộc tấn công có chủ đích vào những điểm yếu này trở nên hấp dẫn hơn. Hãy nhìn vào bài học từ cầu Ronin năm 2022: 625 triệu USD bị đánh cắp chỉ vì 5 validator, trong đó 4 thuộc về cùng một thực thể. LayerZero có 19 oracle và 19 relayer, nhưng nếu chúng không thực sự độc lập, con số đó chỉ là ảo ảnh. Contrarian: Điều này không có nghĩa là LayerZero thất bại. Trên thực tế, tôi tin rằng các giải pháp cross-chain tập trung hóa là cần thiết trong ngắn hạn. Lý do: thị trường hiện tại đang ưu tiên tốc độ và chi phí thấp hơn là phi tập trung tuyệt đối. Nhưng điều này tạo ra một nghịch lý: chúng ta đang xây dựng một hệ thống tài chính mới dựa trên những giả định tin cậy cũ. Khi mùa hè DeFi 2020 bùng nổ, tôi đã kiếm được 2,000 USD từ yield farming, nhưng mất gần hết vì impermanent loss. Bài học: lợi nhuận dễ dàng thường đi kèm với rủi ro ẩn giấu. Với LayerZero, rủi ro ẩn giấu là sự phụ thuộc vào các entity tập trung trong một kiến trúc được quảng bá là phi tập trung. Takeaway: Khi thanh khoản toàn cầu tiếp tục co lại, câu hỏi không phải là liệu LayerZero có bị tấn công hay không, mà là khi nào. Và khi điều đó xảy ra, nó sẽ không chỉ là một vụ hack đơn lẻ — nó sẽ là một bài kiểm tra cho toàn bộ ngành công nghiệp cross-chain. Bạn đã sẵn sàng cho điều đó chưa?