#LayerZeroCEOAdmitsProtocolFlaws

LayerZeroのCEO、$292M ハッキング後にプロトコルの失敗を認める — しかしKelp DAOは「あなたが承認した設定を今あなたが非難している」と言う
数週間にわたり、LayerZeroはDeFiを揺るがせた2億9200万ドルの攻撃についてKelp DAOを非難していた。「彼らは1対1の検証者設定を使用していた — 我々はそれに反対して警告していた。」それが当初のストーリーだった。しかし今、LayerZeroのCEOブライアン・ペレグリーノは公にプロトコルレベルの欠陥を認め、安全性の全面的な見直しを約束した。そしてKelp DAOは、責任の所在を一変させる証拠を公開した。
なぜこれがあなたが信頼してきたすべてのクロスチェーンブリッジにとって重要なのか、その理由を解説しよう。
🔥 すべてを変えた認識の変化
5月4日、ペレグリーノはKelp DAOの攻撃後、LayerZeroのプロトコルの失敗を認める公開声明を出し、包括的なセキュリティの見直しを約束した。これは、4月20日のLayerZeroの最初の事後分析から大きく変わるもので、その時点では攻撃は完全に「アプリケーションレベル」の設定ミスとされていた — プロトコルレベルの問題ではないと。
なぜこの変化が起きたのか？証拠が無視できないほど明らかになってきたからだ。
🔍 Kelp DAOの衝撃的な反論
5月5日、Kelp DAOは詳細な反論を公開し、LayerZeroの主張と直接対立した。彼らが明らかにした内容は以下の通り：
1. LayerZeroは、今非難している1対1の検証者設定を承認していた。彼らはLayerZeroチームとのプライベート通信のスクリーンショットを共有し、そこにはLayerZeroのスタッフが明確に「デフォルトの設定を使うのに問題はない — ここに[redacted]をタグ付けしているのは、メッセージ検証用にカスタムDVN設定を使いたいかもしれないとあなたが言ったからだけど、それはあなたのチームに任せる！」と記されていた。言及された「デフォルト」とは、LayerZero Labsの1対1のDVN設定だった — これが後に攻撃の重要な脆弱性とされた設定だ。
2. その「危険な」設定は、LayerZeroが出荷した標準のデフォルト設定だった。Kelpの主張は、これはエコシステム内の何百ものアプリケーションが使う標準設定であり、もしほとんどのLayerZeroの統合が1対1を使っているなら、「ユーザーエラー」と呼ばれるのは、エアバッグなしの車を売っておいて、後から運転手のせいにするのと同じだということだ。
3. LayerZeroのインフラ自体が侵害された。攻撃は、攻撃者がLayerZeroの検証者が依存していた2つのRPCノードを侵害し、残りをDDoSしたことで成功した。LayerZeroのDVNインフラ — クロスチェーンメッセージを検証するためのシステム — が侵害されたのだ。Chainlinkのコミュニティリエゾン、ザック・リネスはこれを直接指摘した：「LayerZeroは、自分たちのDVNノードインフラが侵害され、$290M ブリッジの攻撃を引き起こした責任を回避しようとしている。」
4. Kelp DAOからの4つの未回答の質問。KelpはLayerZeroに対して、RPCエンドポイントリストへのアクセス方法、エコシステム内の多数の1対1設定とドキュメントのデフォルトとの整合性、インフラの侵害を検知できなかった理由、改ざんされたメッセージに署名されるまでの侵害ノードの滞留時間について具体的な質問を投げかけた。これらは単なるレトリックではなく、LayerZeroのプロトコルの欠陥を認めることで、責任追及がより困難になっている。
🧠 真の教訓：コードリスクと運用リスク
OpenZeppelinのセキュリティ分析は、多くの人が見落としていたポイントを指摘している：Kelp DAOのスマートコントラクトにバグはなかった。コードは監査済みで安全だった。失敗したのは、ブリッジインフラ周りの運用と統合設定 — これは従来のコードレビューや監査の範囲外のものだ。
これが業界がほとんど語らない重要な区別だ。完璧に監査されたコントラクトを持っていても、その下のインフラ層に単一の失敗点があれば、2億9200万ドルを失う可能性がある。LayerZeroのモデルは分散検証者ネットワーク（DVN）に依存しているが、デフォルト設定が1対1（検証者がLayerZero Labs自身）であれば、「分散化」はマーケティング用語に過ぎず、安全性の現実ではない。侵害されたノード1つ。偽造メッセージ1つ。2億9200万ドル消失。
📊 ZRO価格への影響 — 市場は投票している
ZROは1.395ドルで取引されており、24時間で-5.1%、30日間で-29.6%。テクニカルな状況は明確なストーリーを語る：
日次移動平均線は完全に弱気（MA7 < MA30 < MA120） — 持続的な下落トレンド
PDI < MDI、ADXは34.4 — 強い下降モメンタム
今日のBTC比で-4.4%の下落 — 大きなパフォーマンスの低迷
先物の未決済建玉は24時間で-11.6% — ポジションは清算されており、新たに積み増されていない
しかし：日次MACDはゴールデンクロス（DIFがDEAを上抜け）を形成し、15分CCI/WRは売られ過ぎ圏内 — 短期的な反発の可能性もある
市場は評判のダメージと不確実性を織り込んでいる。LayerZeroのCEOがプロトコルの欠陥を認めたことは責任追及への一歩だが、Kelp DAOの証拠はより厳しい疑問を投げかける：これは単なる「ユーザー設定ミス」だったのか、それとも最初からプロトコルのデフォルト設計が根本的に安全でなかったのか？
⚡ クロスチェーンインフラにとってこれが意味すること
1. デフォルト設定はドキュメント以上に重要。プロトコルが1対1の検証者をデフォルトで出荷した場合、それは推奨ではなく、実際に提供されるセキュリティレベルだ。ドキュメントに「マルチ検証者を設定すべき」と書かれていても、それに従うユーザーを守ることはできない。本当のセキュリティは、多くのユーザーが実際に運用している設定によって決まる。
2. インフラリスクは爆発しないと見えない。スマートコントラクトの監査はコードのバグを見つけるが、侵害されたRPCノードやDDoSされたバリデータ、メッセージ層の信頼の単一ポイントは見逃す。次の大きなDeFi攻撃はコントラクトの脆弱性からではなく、運用インフラの問題から起こる可能性が高い。
3. 責任追及は遡及できない。LayerZeroのCEOの認めは歓迎だが、それは数週間にわたる責任回避の後だった。もし4月20日の事後分析と同時に認めていたら、コミュニティの反応は全く違っただろう。危機後最初の48時間で信頼は築かれるものであり、3週間後では遅い。
4. Kelp DAOのChainlink CCIPへの移行は、市場の判決だ。Kelpは、LayerZeroのOFT標準からrsETHを移行し、Chainlinkのクロスチェーン相互運用性プロトコルに切り替えると発表した。最大のパートナーが攻撃後にプロトコルを離れるのは、単なるビジネス判断ではなく、実際にシステムをテストし、不十分だと判断したセキュリティの判決だ。
💡 結論
LayerZeroのCEOがプロトコルの欠陥を認めたことは必要な一歩だが、それだけでは不十分だ。本当の試練は、LayerZeroがKelp DAOの4つの質問に公開で答え、デフォルトのセキュリティ設定を見直し、「分散検証者」が意味を持つのか、疑問を持つ関係者の信頼を取り戻せるかどうかだ。
2億9200万ドルの損失。コントラクトにバグはなかった。脆弱性はコードにあったのではなく、信頼モデルにあった。そして、同じアーキテクチャを採用するすべてのクロスチェーンブリッジは今すぐ同じ問いを自問すべきだ。
プロトコル制作者は安全でないデフォルトに責任を持つべきか、それともユーザーが出荷後に設定を超える責任を負うべきか？この議論は、すべてのブリッジプロトコルのセキュリティ設計を根本から変える可能性がある — 👇の意見を下に書き込もう
‍@Gate_Square
‍$ZRO $ETH