Коренной причиной эксплойта rsETH bridge на $290 млн, исходя из всей доступной информации, стала компрометация официальной DVN-ноды LayerZero Labs.

LayerZero давно позиционировала себя как децентрализованную систему без централизованных посредников, но на практике это выглядит как театр децентрализации.

Когда LayerZero называет свои централизованные ноды “Decentralized Verifier Networks”, это, по сути, просто маркетинговая манипуляция.

Значительная часть активности в LayerZero зависит всего от небольшого числа DVN-нод, а во многих случаях — вообще только от одной или двух, которые управляются централизованными компаниями, включая саму команду LayerZero Labs.

В инциденте с rsETH сами сети работали корректно. Сбой произошёл потому, что DVN-нода LayerZero Labs была скомпрометирована и отправила поддельное сообщение, которое downstream-контракты восприняли как легитимное.

Ответственность за безопасность bridge-инфраструктуры лежит на провайдере, а не на downstream-протоколах или пользователях, которые доверились маркетингу.

Но более глубокая проблема — архитектурная.

LayerZero не потратила достаточно времени и ресурсов, чтобы построить по-настоящему децентрализованную сеть. Вместо этого она срезала углы и выпустила централизованную систему, завернув её в децентрализованный маркетинг.

Настоящая децентрализация стоит денег и требует:

множества независимых операторов нод;
нескольких независимых RPC-провайдеров;
реальной избыточности на уровне валидации.

Когда LayerZero экономит на этих вещах, издержки перекладываются на пользователей и на всю индустрию в виде катастрофических сбоев вроде этого.

Прошлогодний outage AWS, который положил мосты LayerZero, уже должен был стать подсказкой о том, насколько централизована экосистема LayerZero.

К сожалению, риски мостов не остаются локальными — убытки распространяются на крупные DeFi-протоколы и связанные экосистемы.

Chainlink CCIP был изначально построен именно для того, чтобы устранить этот класс рисков: каждый bridge lane там защищён множеством независимых, прошедших security review операторов нод, подключённых к нескольким надёжным RPC-провайдерам.

Именно поэтому CCIP ни разу не был эксплойчен и не терял пользовательские средства почти за три года работы в production на более чем 70 блокчейнах.

Желаю скорейшего восстановления всем командам и пользователям, пострадавшим в этом инциденте. Надеюсь, средства удастся вернуть, а экосистема в итоге выйдет из этой ситуации сильнее.

https://x.com/ChainLinkGod/status/2046003895558869060