Mula noong April ng taong ito, pagkatapos ng pag-atake sa KelpDAO cross-chain bridge na nagresulta sa pagkawala ng halos $292 milyon, ang seguridad ng cross-chain infrastructure ay nasa gitna ng malaking pagbabago. Ayon sa mga estadistika, halos $4 bilyon na ang asset na nakumpleto o nasa proseso ng paglipat mula sa LayerZero patungo sa Chainlink’s Cross-Chain Interoperability Protocol (CCIP).
Naganap ang pag-atake noong Abril 19 sa gabi, kung saan ang attacker ay nag-call ng function sa LayerZero Endpoint V2 contract, na nag-trigger sa KelpDAO bridge contract na maglabas ng humigit-kumulang 116,500 na rsETH, na may halagang humigit-kumulang $292 milyon. Ang emergency pause mechanism ng protocol ay sumigla upang pigilan ang karagdagang pagkawala ng humigit-kumulang $100 milyon.
Pagkatapos ng pag-atake, inilabas ng LayerZero ang isang pahayag na ang unang pagtataya ay ang mga attacker ay mataas na kumplikadong mga estado na aktor, at posibleng bahagi ng North Korean Lazarus Group na si TraderTraitor.
Ang pangunahang paraan ng pag-atake ay ang pagkontamin sa RPC nodes na ginagamit ng LayerZero decentralized verifier network, at ang paggamit ng DDoS attack upang pilitin ang system na mag-transfer sa naka-compromisong node, na nagpapahintulot sa mga fake na mensahe na makapasok. Ang pangunahang kontrobersya sa insidente ay ang paggamit ng 1-of-1 single-verifier configuration ng KelpDAO noong panahong iyon, na ginamit upang magdulot ng single point of failure.
Kinikilala ng LayerZero na ang pagpapahintulot sa kanilang opisyal na network ng pag-verify na maglingkod sa mga mataas na halagang transaksyon sa konfigurasyon na 1/1 ay isang seriyosong pagkakamali, at ipinahayag ang paghinto sa pag-sign ng mensahe para sa mga single-validator setup. Binanggit ng KelpDAO na ang konfigurasyong ito ay dating isang default setting sa deployment code ng LayerZero. Anuman ang pagkakahati ng responsibilidad, ipinakita ng pag-atake na ang pag-verify ng cross-chain message ay vulnerable sa partikular na konfigurasyon.
Agad na nagsimula ang paglipat, noong Mayo 6, unang inihayag ng biktima, ang KelpDAO, na ipapabayaan ang LayerZero at ililipat ang lahat ng cross-chain infrastructure ng rsETH patungo sa Chainlink CCIP, maging unang pangunahing protokolo na umalis.
Sa loob ng dalawang araw, ang Bitcoin staking protocol na Solv Protocol ay magpapalit ng kanyang mga solusyon sa cross-chain na may kabuuang halagang higit sa 7 bilyong dolyar na SolvBTC at xSolvBTC patungo sa CCIP, na kumakalat sa lahat ng suportadong chain.
Sa parehong araw, ang decentralized reinsurance protocol na Re ay naglipat din ng kanilang cross-chain solution para sa deposit token na reUSD patungo sa CCIP at itinakda ito bilang eksklusibong cross-chain solution. Ang non-custodial lending protocol na Tydro ay kasama rin sa unang listahan ng mga nag-migrate.
Noong Mayo 14, inihayag ng Kraken ang paggamit ng Chainlink CCIP bilang eksklusibong serbisyo sa pagitan ng mga blockchain para sa kanyang mga nakapipili na cryptocurrency, kabilang ang kBTC, na sumasakop sa mga blockchain tulad ng Ink, Ethereum, at Optimism. Noong ika-16, inihayag ng Lombard ang paghinto sa paggamit ng LayerZero at ang paglikom ng higit sa $1 bilyon na mga asset na may suportang Bitcoin patungo sa CCIP, gamit ang pamantayan sa pagpapalit ng token sa pagitan ng mga blockchain sa pamamagitan ng pagpapalit at paggawa.
Ayon sa data ng DefiLlama, kung tatayain lamang ang kasalukuyang kabuuang halaga ng mga pinagkakakulong sa pangunahing DeFi protocols, ang kabuuang laki ng lima ay hihigit na sa $3.4 bilyon, at kasama ang mga institutionalized assets, ang kabuuang laki ng paglipat ay nasa antas ng $4 bilyon.
Noong Disyembre 2025, pinili na ng Coinbase ang CCIP bilang eksklusibong provider ng interoperabilidad para sa lahat ng kanilang wrapped assets, kabilang ang cbBTC, cbETH, cbDOGE, cbLTC, cbADA, at cbXRP, na may kabuuang market cap na halos $7 bilyon noong panahong iyon. Noong Enero 2024, nag-integrate na rin ang Circle sa CCIP upang suportahan ang multi-chain transfers ng USDC.
Ang reaksyon ng merkado sa paglipat ng tiwala ay direktang nakikita sa paggalaw ng token.
Ayon sa data ng CoinMarketCap, tumataas ang LINK sa loob ng 30 araw ng 2.73% sa presyo ng $9.60, na may halagang pamilihan na $6.98 bilyon, at nananatiling nasa ika-16 posisyon sa cryptocurrency market; samantala, ang ZRO ay bumaba ng 22.63% sa parehong panahon, na nasa presyo ng $1.34, na may halagang pamilihan na $434 milyon, at bumaba sa ika-92 posisyon. Kasama pa sa presyong presyon sa LayerZero ang paglalabas ng higit sa 25.71 milyong ZRO tokens noong Mayo 20, na may halagang humigit-kumulang sa $34.45 milyon, o 5.07% ng supply na nasa circulation.
Ayon sa data ng Dune, ang LayerZero network ay may net outflow ng humigit-kumulang $2.01 bilyon sa nakaraang 30 araw.
Sa likod ng malaking bilang ng protokolo na pumapasok ay ang malaking pagkakaiba sa seguridad架构 ng Chainlink CCIP at LayerZero. Noong Abril 2024, inanunsyo ng Chainlink na naging ganap na available na ang CCIP, na sumusuporta sa mga blockchain tulad ng Arbitrum, Base, BNB Chain, at Ethereum.
Ang Chainlink CCIP ay malalim na i-integrate sa decentralized oracle network, na binubuo ng maraming independiyenteng node operator na nagtatayo ng off-chain consensus layer upang obserbahan, i-verify, at i-report ang cross-chain events, kasama ang karagdagang monitoring at proteksyon mula sa independiyenteng risk management network. Ang mekanismo nito sa paglipat ng token ay may built-in na rate limits at time-locked upgrades, na bumubuo ng defense-in-depth security model.
Ayon sa data ng Dune, ang kabuuang halaga ng paglipat ng mga token sa pamamagitan ng Chainlink CCIP ay lumampas na sa $2 bilyon. Ang mga decentralized stablecoin na GHO at USDC ang may pinakamataas na bahagi, na 22.4% at 20.2% ayon sa pagkakasunod-sunod, na katumbas ng halos $531 milyon at $481 milyon.
Sa kumpara, gumagamit ang LayerZero ng isang napakamodular na limang-antas na arkitektura na naghihiwalay nang buo ang interface, pagpapatotoo, at pagpapatupad, na nagpapahintulot sa mga developer na magkombina ng sarili nilang decentralized verification network at i-configure ang threshold ng pagpapatotoo. Ang ganitong disenyo ay nagbibigay ng mas mataas na flexibility, ngunit nangangailangan ng aktibong pagpili at pagpapanatili ng mga security configuration ng mga application.
Ang KelpDAO incident ay naglagay ng spotlight sa fatal flaw ng single-validator configuration, kung saan ang mga protocol na nagpili din ng 1/1 configuration ay dating nangunguna sa 47%, na nagtulak sa maraming proyekto na mabilis na lumipat patungo sa CCIP na may decentralized validation bilang default option at mas maayos na security controls.
Inilabas ng LayerZero ang paumanhin noong Mayo 9, kinausap ang kanilang pagkakamali sa pagpapalabas ng komunikasyon sa nakaraang tatlong linggo, at sinabi na dapat sila ay direktang ipaliwanag ang sitwasyon nang mas maaga kaysa mag-unawa muna sa pagsusuri pagkatapos.
Hindi naapektuhan ng anumang kaganapan ang protocol mismo ng LayerZero; ang naging sanhi ay ang internal RPC na ginamit ng LayerZero Labs DVN na may nakalantad na source ng data, samantalang ang mga external RPC provider ay nasakop ng DDoS attack, na nagbigay-daan sa Labs DVN na maglingkod bilang 1/1 configuration para sa mga mataas na halagang transaksyon—isang malaking pagkakamali. Ang opisyal ay magpapalabas ng pormal na post-incident analysis report kasama ang mga eksternal na security partner sa malapit na pagkakataon.