#DailyPolymarketHotspot #LayerZeroCEOAdmitsProtocolFlaws #LayerZeroCEOAdmitsProtocolFlaws

الرئيس التنفيذي لـLayerZero يعترف بفشل البروتوكول بعد $292M الاختراق — لكن Kelp DAO تقول "لقد وافقت على الإعداد الذي تلومه الآن"
لأسابيع، وجهت LayerZero أصابع الاتهام إلى Kelp DAO في هجوم بقيمة 292 مليون دولار هز عالم التمويل اللامركزي. "استخدموا تكوين مدقق واحد-لواحد — لقد حذرنا من ذلك." كانت هذه هي الرواية. لكن الآن، اعترف الرئيس التنفيذي لـLayerZero بريان بيليجرينو علنًا بوجود قصور على مستوى البروتوكول، متعهدًا بإعادة هيكلة أمنية كاملة. وKelp DAO أصدرت أدلة قد تقلب لعبة اللوم بأكملها رأسًا على عقب.
دعني أشرح لماذا هذا الأمر مهم لكل جسر عبر السلسلة وثقته من قبل.
🔥 الاعتراف الذي غير كل شيء
في 4 مايو، نشر بيليجرينو بيانًا عامًا يعترف فيه بفشل بروتوكول LayerZero بعد استغلال Kelp DAO، ملتزمًا بإعادة هيكلة أمنية شاملة. هذا تحول كبير عن تقرير ما بعد الحادث الذي أصدرته LayerZero في 20 أبريل، والذي صور الهجوم كأنه فشل في تكوين "على مستوى التطبيق" من قبل Kelp DAO — وليس مشكلة على مستوى البروتوكول.
لماذا هذا التحول؟ لأن الأدلة كانت تصبح من المستحيل تجاهلها.
🔍 رد Kelp DAO المدمر
في 5 مايو، نشرت Kelp DAO ردًا مفصلًا يتناقض مباشرة مع الادعاء الأساسي لـLayerZero. إليك ما كشفوا عنه:
1. وافقت LayerZero على إعداد المدقق واحد-لواحد الذي يلومونه الآن، وشاركوا لقطات شاشة من اتصالات خاصة مع أعضاء فريق LayerZero حيث قال أحد موظفي LayerZero صراحة: "لا مشكلة في استخدام الإعدادات الافتراضية أيضًا — فقط أضع [redacted] هنا لأنه ذكر أنك قد ترغب في استخدام إعداد DVN مخصص للتحقق من الرسائل، لكن سأترك ذلك لفريقك!" الإعدادات "الافتراضية" المشار إليها كانت تكوين DVN الخاص بـLayerZero Labs — نفس الإعداد الذي أشار إليه LayerZero لاحقًا كالثغرة الحرجة التي سمحت بالاستغلال.
2. كانت التكوين "الخطير" هو الإعداد الافتراضي الذي أرسلته LayerZero، وسمت Kelp's 1-of-1 verifier خيارًا متطرفًا وغير مسؤول. حجتهم: أن هذا هو الإعداد الافتراضي القياسي للمنصة، ويستخدمه مئات التطبيقات الأخرى عبر النظام البيئي. إذا كانت معظم تكاملات LayerZero تستخدم 1-of-1، فإن وصفها بأنها "خطأ من المستخدم" عند فشلها يشبه بيع سيارة بدون وسائد هوائية ثم لوم السائق لعدم تثبيتها بعد السوق.
3. تم اختراق بنية LayerZero التحتية هجوم العملة نجح لأن المهاجمين اخترقوا عقدي RPC اثنين كانا يعتمد عليهما مدقق LayerZero وقاموا بهجمات DDoS على البقية. تم اختراق بنية DVN — النظام المصمم للتحقق من الرسائل عبر السلاسل — الخاص بـLayerZero. وذكر زاك رينيس، مسؤول المجتمع في Chainlink، ذلك مباشرة: "LayerZero يتهرب من المسؤولية بأن بنية عقدة DVN الخاصة بهم تعرضت للاختراق وتسببت في استغلال جسر $290M ".
4. أربعة أسئلة لم تُجب عنها Kelp DAO طرحت Kelp أسئلة محددة لم تجب عنها LayerZero علنًا: كيف تم الوصول إلى قوائم نقاط النهاية RPC؟ كيف تتوافق الإعدادات الافتراضية الموثقة من LayerZero مع العدد الهائل من تكوينات 1-of-1 عبر النظام البيئي؟ لماذا فشل المراقبة في اكتشاف اختراق البنية التحتية؟ كم كانت مدة بقاء العقد المخترقة قبل توقيع الرسالة المزورة؟
هذه ليست أسئلة بلاغية — إنها مطالب بمساءلة تجعل اعتراف LayerZero بعيوب البروتوكول أكثر صعوبة في التهرب منها الآن.
🧠 الدرس الحقيقي: مخاطر الكود مقابل المخاطر التشغيلية
تحليل الأمان من OpenZeppelin أشار إلى نقطة غفل عنها معظم الناس: لم يكن هناك خطأ في عقود Kelp DAO الذكية. الكود تم تدقيقه وكان سليمًا. ما فشل هو الإعداد التشغيلي والتكاملي حول بنية الجسر — شيء يقع خارج مراجعات الكود والتدقيق التقليدية.
هذا هو التمييز الذي نادراً ما يتحدث عنه الصناعة. يمكنك أن تمتلك عقودًا مدققة بشكل مثالي ومع ذلك تخسر 292 مليون دولار إذا كانت طبقة البنية التحتية التي تحتها تحتوي على نقطة فشل واحدة. يعتمد نموذج LayerZero على شبكات المدققين اللامركزية (DVNs) — لكن عندما يكون الإعداد الافتراضي هو 1-of-1 (مدقق واحد = شركة LayerZero نفسها)، فإن "اللامركزية" تصبح كلمة تسويقية، وليست واقعًا أمنيًا. عقدة واحدة مخترقة. رسالة مزورة واحدة. 292 مليون دولار ضاعت.
📊 تأثير سعر ZRO — السوق يصوت
يتداول ZRO عند 1.395 دولار، بانخفاض -5.1% خلال 24 ساعة و-29.6% خلال 30 يومًا. الصورة الفنية تحكي قصة واضحة:
المتوسطات المتحركة اليومية في اتجاه هبوطي كامل (MA7 < MA30 < MA120) — اتجاه هبوطي مستمر
مؤشر PDI أقل من MDI مع ADX عند 34.4 — زخم هبوطي قوي
يتراجع بنسبة -4.4% مقارنة بـBTC اليوم — أداء ضعيف ملحوظ
انخفضت الفائدة المفتوحة للعقود الآجلة بنسبة -11.6% خلال 24 ساعة — يتم تصفية المراكز، وليس بناؤها
لكن: MACD اليوم شكل تقاطع ذهبي (DIF عبر فوق DEA) وCCI/WR لمدة 15 دقيقة في مناطق البيع المفرط — هناك احتمال لارتداد قصير المدى
السوق يضع في الحسبان الضرر السمعة وعدم اليقين. اعتراف الرئيس التنفيذي لـLayerZero بعيوب البروتوكول خطوة نحو المساءلة، لكن أدلة Kelp DAO تثير سؤالًا أصعب: هل كان الأمر دائمًا مجرد "خطأ في تكوين المستخدم"، أم أن التصميم الافتراضي للبروتوكول كان غير آمن من البداية؟
⚡ ماذا يعني هذا للبنية التحتية عبر السلسلة
1. الإعدادات الافتراضية أكثر أهمية من التوثيق. إذا أطلق بروتوكول مدقق واحد-لواحد كإعداد افتراضي، فذلك ليس توصية — بل هو مستوى الأمان الذي يقدمه فعليًا. التوثيق الذي يقول "يجب عليك تكوين مدقق متعدد" لا يحمي المستخدمين الذين يتبعون الإعدادات الافتراضية الموثقة. الأمان الحقيقي للنظام يُحدد بما يفعله معظم المستخدمين، وليس بما تقول الوثائق أنه يمكنهم فعله.
2. المخاطر على البنية التحتية غير مرئية حتى تنفجر. تدقيقات العقود الذكية تلتقط أخطاء الكود. لكنها لا تلتقط RPC مخترقة، أو مدققين يتعرضون لهجمات DDoS، أو نقاط ثقة واحدة في طبقات الرسائل. الاستغلال الكبير التالي في التمويل اللامركزي ربما لن يأتي من ثغرة في العقد — بل من البنية التحتية التشغيلية التي تعتمد عليها العقود ولا يمكنها السيطرة عليها.
3. لا يمكن أن تكون المساءلة عكسية. اعتراف الرئيس التنفيذي لـLayerZero مرحب به، لكنه جاء بعد أسابيع من محاولة التملص من المسؤولية إلى Kelp DAO. لو جاء الاعتراف في 20 أبريل مع تقرير ما بعد الحادث — بدلاً من رواية "Kelp أعدت التكوين بشكل خاطئ" — لكانت استجابة المجتمع مختلفة جدًا. الثقة تُبنى خلال أول 48 ساعة بعد الأزمة، وليس في الأسبوع الثالث.
4. هجرة Kelp DAO إلى Chainlink CCIP هي حكم السوق. أعلنت Kelp أنها ستنقل rsETH من معيار LayerZero OFT إلى بروتوكول التفاعل عبر السلاسل من Chainlink. عندما يترك أكبر شريك تكامل لديك بروتوكولك بعد استغلال، فذلك ليس مجرد قرار تجاري — إنه حكم أمني من شخص اختبر نظامك في ظروف حقيقية ووجد أنه غير كافٍ.
💡 الخلاصة
اعتراف الرئيس التنفيذي لـLayerZero بعيوب البروتوكول خطوة ضرورية — لكنها مجرد خطوة أولى. الاختبار الحقيقي هو ما إذا كان بإمكان LayerZero الإجابة على الأسئلة الأربعة لـKelp DAO علنًا، وإعادة هيكلة إعداداته الأمنية الافتراضية، وإعادة بناء الثقة مع المدمجين الذين يتساءلون الآن عما إذا كانت "المدقق اللامركزي" تعني شيئًا عندما يكون الافتراضي هو شركة واحدة تتحقق من كل شيء.
خُسِر 292 مليون دولار. لا عيوب في العقود. الثغرة لم تكن في الكود — كانت في نموذج الثقة. وكل جسر عبر السلسلة يستخدم بنية مماثلة يجب أن يطرح على نفسه نفس السؤال الآن.
هل يجب أن يُحاسب منشئو البروتوكولات على الإعدادات الافتراضية غير الآمنة، أم أن المسؤولية دائمًا تقع على عاتق المستخدم لتكوين ما يتجاوز ما يتم شحنه؟ هذا النقاش قد يعيد تشكيل كيفية تصميم كل بروتوكول جسر لنظامه الأمني — شارك موقفك أدناه 👇
‍@Gate_Square
‍$ZRO $ETH