GriffinAI创始人：攻击者通过引入LayerZero伪造节点发起攻击

从技术角度看，这次攻击的核心在于攻击者利用了 LayerZero 跨链消息传递协议中的“节点”验证机制缺陷。LayerZero 依赖 Oracle 和 Relayer 组成的去中心化网络来验证跨链消息的真实性，但实际操作中，项目方在部署跨链应用时，需要自行配置并信任特定的端点（Endpoint）和链上合约。

攻击者手法非常明确：他们部署了一个假冒的以太坊端合约（代币 TTTTT，地址 0x7a8caf），并将其伪装成 GAIN 在以太坊侧的 LayerZero 节点，从而欺骗了 BNB 链上的官方合约（0xccdbb9），使其错误地认可了来自伪造节点的跨链消息。这直接导致 BNB 链上发生异常增发，攻击者得以凭空铸造 50 亿枚 GAIN 并抛售。

这起事件反映出几个关键问题：一是项目方在集成跨链协议时，可能未严格验证链上节点地址的合法性和权限控制，二是跨链协议本身在“去中心化”和“信任最小化”方面存在实践层面的脆弱性——正如参考文章中那篇《为什么说LayerZero是伪去中心化跨链协议？》所质疑的，许多跨链协议在设计和实现上并未真正做到无需信任，反而依赖少数参与者的诚实性。

从行业背景来看，类似的安全事件并不罕见。比如2025年Hyperliquid再遭攻击时，交易所采取“拔网线”式自救，也反映出当前基础设施在面对新型攻击时缺乏有效的链上熔断机制。而跨链协议一旦出现漏洞，往往导致资产直接损失或增发，且通常难以追回。

这要求项目方在采用跨链方案时，必须强化端到端的安全审计，包括节点身份验证、消息签名机制和合约升级权限管理等。同时，也提醒我们，跨链生态的成熟仍需要时间，不能盲目信任“无需信任”的宣传，而应更注重实践中的验证与防御。