#LayerZeroCEOAdmitsProtocolFlaws — Взлом, який зруйнував довіру між ланцюгами, та щира зізнання генерального директора
Ціна ZRO: $1.412 | 24Г: -3.22% | 30Д: -32.34% | Ринкова капіталізація: $292M
4 травня 2026 року генеральний директор LayerZero Labs Браян Пеллегрін опублікував сирий, безфільтровий заяву в X, яка спричинила шок у екосистемі міжланцюгових рішень. Він визнав те, що не хоче казати жоден керівник інфраструктури: "Я помилявся." Це зізнання прозвучало через два тижні після найбільшого DeFi-експлойту 2026 року — витоку 292 мільйонів доларів з мосту rsETH Kelp DAO, що виявив смертельні недоліки в основній архітектурі LayerZero.
Ось повний розбір того, що сталося, що зізнався генеральний директор і чому це важливо для кожного користувача криптовалют.
💥 ВЗЛОМ: Як зникло 292 мільйони за кілька хвилин
18 квітня 2026 року о 17:35 за UTC зловмисник здійснив руйнівний удар по мосту rsETH Kelp DAO — міжланцюговому активу, який працює на інфраструктурі повідомлень LayerZero.
Механіка атаки:
Зловмисник, з яким з початковою впевненістю пов’язують групу Lazarus з Північної Кореї (підрозділ TraderTraitor), зламав два RPC-ноді, на яких базувалася децентралізована мережа перевірки LayerZero
Одночасно здійснив DDoS-атаку на решту чистих RPC-нодів, змусивши перейти до отруєної інфраструктури
Надсилав підроблене міжланцюгове повідомлення, яке наказувало мосту вивести 116 500 rsETH (приблизно $292 мільйони)
Вкрадені rsETH були переведені на Aave V3 і використані для позик WETH, що призвело до заморожування ринків rsETH у Aave і викликало понад $10 мільярдів виводів
Другу атаку, спрямовану на додаткові 40 000 rsETH (~$95М), заблокували після того, як Kelp призупинив контракти і чорним списком заблокував гаманець зловмисника
Каскадний вплив:
Кілька протоколів призупинили свої міжланцюгові мости LayerZero OFT
Загальний TVL DeFi знизився приблизно на 7% до $86.3 мільярдів
Злом став найбільшим у 2026 році, частиною рекордного місяця з витоками на $650 мільйонів у квітні
Критична вразливість: Kelp DAO працював у конфігурації 1-із-1 DVN, тобто лише один перевіряльник (власний DVN LayerZero) підтверджував міжланцюгові повідомлення для мільярдів у TVL. Коли цей один перевіряльник був зламаний, не залишилося резервних механізмів для виявлення підробленого повідомлення.
⚡ ГРА ВИНА: LayerZero проти Kelp DAO
Перший аналіз LayerZero поклав вину цілком на Kelp: протокол нібито "ігнорував рекомендації щодо багатоверифікації" і обрав ризиковану конфігурацію 1/1 всупереч порадам.
Kelp DAO відповів вибуховими контраргументами:
Конфігурація 1-із-1 була стандартною документацією LayerZero, а не випадковою налаштуванням, яке Kelp вибрав самостійно
Kelp показав скріншоти обмінів у Telegram, де член команди LayerZero казав: "Немає проблем із використанням стандартних налаштувань, просто тегую $356M
тут, оскільки він згадував, що можливо, ви захочете використати власну налаштування DVN для підтвердження повідомлень, але залишу це вашій команді!" — фактично схвалюючи цю конфігурацію
Зламаний DVN був власною інфраструктурою LayerZero, а не стороннім перевіряльником, обраним Kelp
Комунікаційний канал, відкритий з січня 2024 року, ніколи не давав конкретних рекомендацій щодо зміни конфігурації rsETH DVN
Публічні дані показують, що приблизно 47% усіх контрактів LayerZero OApp працювали у конфігурації 1-із-1 DVN, і конфігурація Kelp не була винятком; вона була нормою
Відповідь Kelp DAO: повністю перейти з LayerZero OFT на Chainlink Cross-Chain Interoperability Protocol (CCIP) для майбутніх міжланцюгових операцій. Це прямий конкурентний програш для LayerZero — їхній найбільший клієнт мосту перейшов до головного конкурента.
🙏 Зізнання генерального директора: "Я помилявся"
4 травня Пеллегрін розірвав мовчання особистою заявою, яка стала різким поворотом від попередньої позиції LayerZero:
Три ключові зізнання:
"Когнітивний дисонанс" щодо налаштувань користувачів Спочатку він вважав LayerZero схожим на Gnosis Safe: надійна інфраструктура, де застосунки самі налаштовують свої конфігурації. Він припускав, що ніхто не буде захищати мільярди TVL ризикованою конфігурацією 1/1, особливо оскільки LayerZero допомагав великим застосункам із безпечними налаштуваннями. Його слова: "Я помилявся." Майже половина всіх застосунків LayerZero працювали з точно такою конфігурацією, яку він вважав неможливою.
Погана комунікація щодо змін безпеки LayerZero тихо запровадив суворіші заходи (примусове встановлення RPC-кворумів, вимога кількох RPC для кожного ланцюга), що порушило бізнес-операції клієнтів. Клієнт "кричав" на Пеллегріна протягом 3-5 хвилин, і він визнав, що вони були "повністю праві." Зміна параметрів безпеки без прозорого повідомлення неприпустима, коли мільярди залежать від вашої інфраструктури.
Недолік у підтримці клієнтів Він вибачився за невдачу у підтримці клієнтів, подякував партнерам, таким як ZeroShadow, Aave і DeFiUnited, за зусилля з відновлення (відстеження та конфіскацію коштів зловмисника), і пообіцяв повну увагу LayerZero Labs до обслуговування емісії активів і запуску "Zero."
Змішані реакції: деякі учасники спільноти похвалили чесність. Інші назвали це "газлайтингом" — відповідальність після двотижневого перекладу провини не стирає початкового відхилення. Довіра, once зламана у безпековій інфраструктурі, не відновлюється одним вибаченням.
📉 ВПЛИВ НА РИНОК: ZRO під тиском
Дані токена розповідають свою історію:
ZRO за $1.412, зниження на 3.22% за 24 години
Зниження за 30 днів — 32.34%, один із найгірших місячних показників серед основних інфраструктурних токенів
Зниження за 90 днів — 12.5%, шкода виходить за межі короткострокової паніки
Заплановане розблокування 25.71М токенів на 20 травня, додатковий тиск на продажі
Обсяг за тиждень слабкий відносно ринкової капіталізації [redacted], що посилює цінові коливання при помірних продажах
Медвежий тиск відображає не лише злом, а й фундаментальні питання щодо того, чи можна довіряти архітектурі DVN LayerZero як основі міжланцюгового DeFi.
🔍 ЧОМУ ЦЕ ВАЖЛИВО ПОЗА LayerZero
Цей інцидент виявляє три системні проблеми у міжланцюговій інфраструктурі:
1. За замовчуванням конфігурації — небезпечні налаштування. Коли 47% застосунків на протоколі працюють з однаковою вразливою конфігурацією, це не помилка користувача, а провал дизайну. Постачальники інфраструктури повинні ставитися до стандартних налаштувань як до найважливішої безпекової відповідальності, оскільки користувачі переважно обирають шлях найменшого опору.
2. Прозорість — обов’язкова у безпековій інфраструктурі. Тихе зміна параметрів підтвердження без повідомлення клієнтів неприпустима. Коли ваш протокол захищає мільярди, кожна зміна конфігурації потребує чіткої комунікації, шляхів міграції та термінів переходу.
3. Одна точка відмови масштабується катастрофічно. Конфігурація 1-із-1 означає, що один зламаний вузол може підробляти повідомлення для всього мосту. Мультиверифікаційні налаштування з незалежними доменами безпеки — не розкіш, а мінімальна життєздатна архітектура для будь-якого протоколу з великим TVL.
⚔️ КОНКУРЕНТНИЙ ПЕРЕХІД: Chainlink CCIP перемагає
Міграція Kelp DAO на Chainlink CCIP — найважливіший конкурентний сигнал у міжланцюговій інфраструктурі цього року. Коли ваш найбільший клієнт мосту йде до прямого конкурента після зломів, ринок сприймає це як вердикт щодо архітектурної довіри. Рамкова система управління ризиками CCIP із незалежними оракулами, обов’язковими конфігураціями з кількома перевіряльниками та явними обмеженнями ризиків тепер має потужного клієнта, який обрав її саме через провал архітектури LayerZero.
🎯 ВИСНОВОК
Зізнання Пеллегріна — крок до відповідальності, але воно йде після двотижневого перекладу провини, що ще більше підірвало довіру. Справжнє випробування — не те, що каже CEO, а що зробить LayerZero. Чи здійснить "Zero" суттєві архітектурні реформи? Чи перейдуть 47% застосунків із конфігурацією 1/1 до наступної атаки? Чи зміниться практика комунікації назавжди?
Злом на $292 мільйони не лише злив кошти, а й зруйнував довіру до всієї моделі міжланцюгової верифікації. Відновлення цієї довіри потребує більше, ніж вибачення. Це потрібно довести, що сама архітектура змінилася.
Міжланцюгова інфраструктура — основа DeFi. Коли ця основа тріскає, все, що побудовано зверху, коливається. Індустрія уважно стежить за наступним кроком LayerZero, і ви також.
$16M
