এপ্রিল মাসে KelpDAO ক্রস-চেইন ব্রিজের বিরুদ্ধে প্রায় 2.92 বিলিয়ন ডলারের আক্রমণের পর থেকে, ক্রস-চেইন ইনফ্রাস্ট্রাকচারের নিরাপত্তা পরিস্থিতি একটি তীব্র পরিবর্তনের মধ্যে দিয়ে যাচ্ছে। পরিসংখ্যান অনুযায়ী, এখন পর্যন্ত প্রায় 40 বিলিয়ন ডলারের সম্পদ LayerZero থেকে Chainlink-এর ক্রস-চেইন ইন্টারঅপারেবিলিটি প্রোটোকল (CCIP)-এ স্থানান্তরিত বা স্থানান্তরের প্রক্রিয়ায় রয়েছে।
আক্রমণটি এপ্রিল ১৯ তারিখের রাতে ঘটে, যেখানে আক্রমণকারীরা LayerZero Endpoint V2 স্মার্ট চুক্তির ফাংশন কল করে KelpDAO ব্রিজ স্মার্ট চুক্তিকে প্রায় ১১.৬৫ লক্ষ rsETH মুক্তি দেওয়ার জন্য প্ররোচিত করে, যার মূল্য প্রায় ২৯২ মিলিয়ন ডলার। পরবর্তীতে প্রোটোকলের জরুরি বন্ধ করার মেকানিজমটি আরও প্রায় ১০০ মিলিয়ন ডলারের অতিরিক্ত ক্ষতি রোধ করে।
আক্রমণের পর, লেয়ারজিরো একটি বিবৃতি জারি করে যে প্রাথমিকভাবে আক্রমণকারীকে অত্যন্ত জটিল রাষ্ট্রীয় আচরণকারী হিসাবে চিহ্নিত করা হয়েছে, যা সম্ভবত উত্তর কোরিয়ার লাজারাস গ্রুপের অধীনস্থ TraderTraitor।
আক্রমণের মূল কৌশল হল লেয়ারজিরো ডিসেন্ট্রালাইজড ভেরিফায়ার নেটওয়ার্কের উপর নির্ভরশীল RPC নোডগুলিকে দূষিত করা এবং DDoS আক্রমণের মাধ্যমে সিস্টেমকে বাধ্য করা যাতে এটি ইতিমধ্যে হ্যাক করা নোডে স্বিচ হয়, যাতে মিথ্যা বার্তাগুলি পাস করতে পারে। ঘটনার মূল বিতর্ক হল যে KelpDAO তখন 1-এর-1 একক ভেরিফায়ার কনফিগারেশন ব্যবহার করছিল, যা ব্যবহার করে একক বিফলতা সৃষ্টি হয়েছিল।
লেয়ারজারো স্বীকার করেছে যে তাদের অফিসিয়াল ভেরিফিকেশন নেটওয়ার্ককে 1/1 কনফিগারেশনে উচ্চ-মূল্যের লেনদেন সেবা দেওয়া একটি গুরুতর ভুল ছিল এবং একক ভেরিফায়ার সেটআপের জন্য বার্তা সই করা বন্ধ করে দেওয়ার ঘোষণা করেছে। কেল্পডিওএএইচ উল্লেখ করেছে যে এই কনফিগারেশনটি লেয়ারজারোর ডিপ্লয়মেন্ট কোডে ডিফল্ট সেটিং হিসাবে উপস্থিত ছিল। যাইহোক, দায়িত্ব কীভাবে বণ্টন করা হয়, এই আক্রমণটি নির্দিষ্ট কনফিগারেশনের অধীনে ক্রস-চেইন বার্তা ভেরিফিকেশনের দুর্বলতা প্রকাশ করেছে।
একটি স্থানান্তর ঢল শুরু হয়েছে, 6 মে, ক্ষতিগ্রস্ত KelpDAO প্রথম প্রোটোকল হিসাবে LayerZero ত্যাগ করে ঘোষণা করেছে যে এটি rsETH-এর ক্রস-চেইন সুবিধাগুলি সম্পূর্ণরূপে Chainlink CCIP-এ স্থানান্তরিত করবে।
দুই দিনের মধ্যে, বিটকয়েন স্টেকিং প্রোটোকল Solv Protocol তাদের $7 বিলিয়নের বেশি মূল্যের SolvBTC এবং xSolvBTC ক্রস-চেইন ইনফ্রাস্ট্রাকচারকে CCIP-এ স্থানান্তরিত করবে, যা সমস্ত সমর্থিত লিঙ্ককে কভার করবে।
একই দিনে, ডিসেন্ট্রালাইজড রিইনশিওরেন্স প্রোটোকল Re তার ডিপোজিট টোকেন reUSD-এর ক্রস-চেইন সমাধানটি CCIP-এ স্থানান্তরিত করেছে এবং এটিকে একমাত্র ক্রস-চেইন সমাধান হিসাবে নির্ধারণ করেছে। নন-কাস্টোডিয়াল লেনদেন প্রোটোকল Tydroও প্রথম স্থানান্তরিতদের তালিকায় রয়েছে।
১৪ মে, ক্রেকেন ঘোষণা করে যে তারা চেইনলিঙ্ক CCIP ব্যবহার করে লেয়ারজিরোকে প্রতিস্থাপন করছে, যা ইংক, ইথারিয়াম, অপটিমিজম সহ বহু ব্লকচেইনে কেবিTC সহ প্যাকেজড ক্রিপ্টো সম্পদের একক ক্রস-চেইন সেবা হিসাবে। ১৬ মে, লম্বার্ড ঘোষণা করে যে তারা লেয়ারজিরোকে বাতিল করছে এবং ১০ বিলিয়ন ডলারেরও বেশি বিটকয়েন-পিছনের সম্পদকে CCIP-এ স্থানান্তর করছে, যা ধ্বংস এবং মুদ্রণের ক্রস-চেইন টোকেন স্ট্যান্ডার্ড ব্যবহার করে।
DefiLlama-এর ডেটা অনুযায়ী, যদি কেবল প্রধান DeFi প্রোটোকলগুলির বর্তমান মোট বন্ধা মূল্য বিবেচনা করা হয়, তবে পাঁচটির মোট আকার 3.4 বিলিয়ন ডলারের বেশি হয়েছে, এবং প্রতিষ্ঠানগত প্যাকেজযুক্ত সম্পদ যোগ করলে, মোট স্থানান্তরের আকার প্রায় 4 বিলিয়ন ডলার।
কয়নবেস ২০২৫ সালের ডিসেম্বরেই তাদের সমস্ত প্যাকেজযুক্ত সম্পদ—যার মধ্যে cbBTC, cbETH, cbDOGE, cbLTC, cbADA এবং cbXRP অন্তর্ভুক্ত—এর জন্য একচেটিয়া ইন্টারঅপারেবিলিটি প্রোভাইডার হিসেবে CCIP কে বেছে নেয়, যখন মোট বাজার মূল্য প্রায় 70 বিলিয়ন ডলার ছিল। ২০২৪ সালের জানুয়ারিতে, সার্কলও USDC-এর মাল্টি-চেইন ট্রান্সফার সমর্থনের জন্য CCIP-এর সাথে ইন্টিগ্রেশন করেছে।
এই বিশ্বাসের স্থানান্তরের প্রতিক্রিয়া সরাসরি টোকেনের চলাচলে প্রকাশ পায়।
CoinMarketCap-এর তথ্য অনুযায়ী, LINK এর শেষ 30 দিনে 2.73% বৃদ্ধি পেয়ে 9.6 ডলারে পৌঁছেছে, যার বাজার মূল্য 69.8 বিলিয়ন ডলার এবং এটি ক্রিপ্টো বাজারে 16তম স্থানে অবস্থান করছে; অন্যদিকে, ZRO একই সময়ে 22.63% হ্রাস পেয়ে 1.34 ডলারে পৌঁছেছে, যার বাজার মূল্য 4.34 বিলিয়ন ডলার এবং এটি 92তম স্থানে নেমে আসে। LayerZero-এর জন্য 20 মে তারিখে 2571 মিলিয়ন ZRO টোকেনের আবদ্ধকরণও অতিরিক্ত চাপ হিসাবে কাজ করবে, যা প্রায় 3445 মিলিয়ন ডলারের সমমূল্য, যা প্রবাহমান মুদ্রণের 5.07%।
ডুন ডেটা অনুযায়ী, লেয়ারজিরো নেটওয়ার্কে গত ৩০ দিনে প্রায় 2.01 বিলিয়ন ডলারের শুদ্ধ বহির্বাহী হয়েছে।
প্রচুর প্রোটোকলের প্রবাহের পিছনে রয়েছে Chainlink CCIP-এর সুরক্ষা কাঠামো এবং LayerZero-এর মধ্যে উল্লেখযোগ্য পার্থক্য। Chainlink 2024 সালের এপ্রিলে ঘোষণা করেছিল যে CCIP এখন সম্পূর্ণভাবে উপলব্ধ, যা Arbitrum, Base, BNB Chain, Ethereum ইত্যাদি ব্লকচেনকে সমর্থন করে।
Chainlink CCIP গঠিত হয়েছে একাধিক স্বাধীন নোড অপারেটর দ্বারা গঠিত ডিসেন্ট্রালাইজড অরাকল নেটওয়ার্কের গভীর একীভূতকরণের মাধ্যমে, যা ক্রস-চেইন ইভেন্টগুলির পর্যবেক্ষণ, যাচাইকরণ এবং প্রতিবেদন করে এবং অতিরিক্ত মনিটরিং এবং সুরক্ষা প্রদানের জন্য স্বাধীন ঝুঁকি ব্যবস্থাপনা নেটওয়ার্ক সহায়তা করে। এর টোকেন ট্রান্সফার মেকানিজমে রেট লিমিটিং এবং টাইম-লকড আপগ্রেডসহ ফিচারগুলি অন্তর্ভুক্ত রয়েছে, যা একটি ডিফেনসিভ-ডিপথ সিকিউরিটি মডেল গঠন করে।
ডুন ডেটা অনুযায়ী, চেইনলিংক CCIP-এর কুমুলেটিভ ক্রস-চেইন টোকেন ট্রান্সফার পরিমাণ ২ বিলিয়ন ডলার ছাড়িয়েছে। এর মধ্যে ডিসেন্ট্রালাইজড স্টেবলকয়েন GHO এবং USDC-এর অবদান সর্বাধিক, যথাক্রমে ২২.৪% এবং ২০.২%, যা যথাক্রমে প্রায় ৫৩১ মিলিয়ন ডলার এবং ৪৮১ মিলিয়ন ডলারের সমান।
অপর দিকে, লেয়ারজারো একটি অত্যন্ত মডিউলার পাঁচ-স্তরের আর্কিটেকচার ব্যবহার করে, যা ইন্টারফেস, যাচাই এবং বাস্তবায়নকে সম্পূর্ণভাবে পৃথক করে, যাতে ডেভেলপাররা নিজেদের দ্বারা ডিসেন্ট্রালাইজড যাচাইকরণ নেটওয়ার্ক সংযোগ করতে পারেন এবং যাচাইকরণের সীমা কনফিগার করতে পারেন। এই ডিজাইনটি উচ্চতর নমনীয়তা প্রদান করে, কিন্তু অ্যাপ্লিকেশন পক্ষকে সক্রিয়ভাবে নিরাপত্তা কনফিগারেশন বেছে নিতে এবং রক্ষণাবেক্ষণ করতে হয়।
কেল্পডিওএএস ইভেন্টটি 1/1 কনফিগারেশনের মারাত্মক ত্রুটিকে আলোকসজ্জিত করে, যখন একইভাবে 1/1 কনফিগারেশন বেছে নেওয়া প্রোটোকলগুলি একসময় 47% পর্যন্ত অংশগ্রহণ করেছিল, যা অনেকগুলি প্রকল্পকে ডিসেন্ট্রালাইজড ভেরিফিকেশনকে ডিফল্ট অপশন হিসাবে এবং সুরক্ষিত নিয়ন্ত্রণসহ CCIP-এর দিকে দ্রুত সরিয়ে নিতে উৎসাহিত করেছিল।
LayerZero 5 মে 9 তারিখে ক্ষমা চায়, গত তিন সপ্তাহের যোগাযোগ ব্যবস্থাপনার জন্য দায়ী হয়ে বলেছে যে পরবর্তী বিশ্লেষণ রিপোর্ট সম্পন্ন করার পরিবর্তে তারা অবস্থা সম্পর্কে আগেই সরাসরি জানাতে পারত।
লেয়ারজিরো প্রোটোকলটি নিজেই কোনও প্রভাবিত হয়নি বলে জোর দিয়েছে, যে অভ্যন্তরীণ RPC এর ডেটা সোর্সটি লেয়ারজিরো ল্যাবসের DVN দ্বারা ব্যবহৃত হয়েছিল এবং বাহ্যিক RPC সরবরাহকারীদের DDoS আক্রমণের শিকার হওয়ার কারণে, Labs DVN-কে 1/1 কনফিগারেশনে উচ্চমূল্যের লেনদেন পরিচালনা করার অনুমতি দেওয়া একটি গুরুতর ভুল ছিল। অফিসিয়ালদের শীঘ্রই বাহ্যিক সুরক্ষা পার্টনারদের সাথে মিলে একটি অফিসিয়াল পোস্ট-মর্টেম বিশ্লেষণ রিপোর্ট প্রকাশ করা হবে।