LayerZero

Ryan Zarick presentó LayerZero en septiembre de 2021; Bryan Pellegrino y Caleb Banister eran los otros cofundadores de LayerZero Labs. El diseño evitaba que el destino entendiera cada cadena de origen. Un Ultra Light Node recibía la cabecera de un Oracle y la prueba de transacción de un Relayer, y comprobaba que la prueba perteneciera a esa cabecera.

La división reducía trabajo en cadena, pero no eliminaba la confianza. Oracle y Relayer debían permanecer independientes; si conspiraban, el destino podía aceptar un mensaje falso. La explicación oficial decía que el peor caso se reducía a la seguridad del Oracle. La aplicación elegía la pareja, así que parte de la seguridad ya era decisión suya.

Stargate apareció en marzo de 2022 como el primer gran producto sobre ese transporte. Sus fondos unificados y el algoritmo Delta permitían mover activos nativos sin envolverlos ni esperar una segunda transacción. El éxito aclaró la separación: LayerZero transportaba instrucciones y Stargate administraba liquidez y saldos.

Ese año también mostró qué debía seguir siendo reemplazable. Un aviso anónimo señaló un problema de bloqueo de rutas en ULNv1. LayerZero retiró esa biblioteca, lo corrigió en ULNv2 y conservó los endpoints. La inmutabilidad correspondía a componentes ya desplegados, mientras las aplicaciones podían elegir otra Message Library.

LayerZero anunció V2 en diciembre de 2023 y lo puso en producción en más de veinte cadenas el 29 de enero de 2024. El Oracle se convirtió en la categoría más amplia de DVN. Las tareas del Relayer se separaron: las DVN certifican datos y los ejecutores sin permisos entregan mensajes verificados y gas en destino.

Una OApp puede exigir todas las DVN de una lista y un número determinado de otra. Puede combinar LayerZero Labs, proveedores de nube, puentes nativos u otros sistemas. El Endpoint y cada Message Library publicada son inmutables, pero el propietario o delegado de la aplicación puede cambiar la biblioteca, los pares de confianza y las DVN.

Esa transferencia de elección era el propósito de V2. Un token de gran valor podía pedir varias certificaciones independientes y una aplicación pequeña pagar menos. También significó que el nombre LayerZero ya no bastaba para describir la seguridad de una ruta concreta.

Antes de la reclamación del 20 de junio de 2024, LayerZero revisó casi seis millones de direcciones por actividad Sybil. La reclamación final exigió pagar 0,10 USD por ZRO a Protocol Guild, condición que generó congestión y debate sobre llamar donación a un pago obligatorio. Correspondía a esa distribución y no era una comisión recurrente por mensaje.

La asignación inicial repartió mil millones de ZRO entre la comunidad, los socios estratégicos, los colaboradores y un bloque recomprado de 40 millones. El relato oficial de 2026 indicó que el acuerdo legal con FTX devolvió ese bloque a los socios estratégicos y elevó su asignación a 312 millones. La historia corporativa modificó el reparto del token sin cambiar la forma en que el Endpoint verificaba los paquetes.

La intrusión que produjo la pérdida de KelpDAO del 18 de abril de 2026 comenzó semanas antes. Según el informe final de LayerZero Labs, el atacante engañó a un desarrollador, robó acceso de sesión y alteró nodos RPC internos. Daba respuestas correctas al monitoreo y falsas a la DVN de Labs, mientras un ataque de denegación expulsó al proveedor RPC externo de la ruta de firma.

El canal rsETH de KelpDAO había pasado de dos DVN obligatorias a una configuración 1-of-1 con solo la DVN de LayerZero Labs. Cuando esta firmó el mensaje falso, no quedó un verificador independiente que discrepara. El contrato de destino liberó 116.500 rsETH, valorados entonces en unos 292 millones de USD.

Atribuirlo solo a la configuración omite la intrusión en Labs; llamarlo ataque al Endpoint omite que el protocolo en cadena aplicó la configuración recibida. La pérdida unió una intrusión operativa con una elección de la aplicación, precisamente la frontera que V2 había delegado a cada OApp.

LayerZero Labs reconstruyó el entorno y anunció que su DVN dejaría de actuar como único certificador obligatorio de un canal. No eliminó del protocolo la capacidad de cada OApp para elegir. Cambió las configuraciones en las que participaría y elevó las rutas V2 predeterminadas a un mínimo de 3-of-3.

Para el 4 de agosto, las rutas V1 activas predeterminadas habían migrado a ULNv301 con el mismo mínimo. Las aplicaciones fijadas a la biblioteca antigua quedaron fuera y debían migrar o gestionar su propio Relayer antes del 15 de diciembre de 2026. La elección prometida por V2 siguió existiendo, pero el operador principal dejó de respaldar cualquier elección posible.