LayerZero (ZRO) là gì, giao thức đa chuỗi này rủi ro gì?

LayerZero là giao thức cho hợp đồng thông minh trên các blockchain khác nhau gửi thông điệp cho nhau, ví dụ báo cho chuỗi B biết một khoản token đã bị khóa trên chuỗi A để phát hành bản tương ứng. Nhiều cầu nối và token chạy trên nhiều chuỗi dùng LayerZero, trong đó có cầu nối Stargate. ZRO là token của LayerZero, tổng cung 1 tỷ, ra mắt ngày 20/6/2024 sau một đợt lọc ví ảo gây tranh cãi. Tháng 4/2026, vụ KelpDAO mất khoảng 290 triệu USD đưa rủi ro cấu hình xác minh của LayerZero lên mặt báo.

LayerZero là gì, ZRO dùng để làm gì?

LayerZero là lớp nhắn tin giữa các chuỗi, không phải một blockchain; ZRO là token dùng để bỏ phiếu các quyết định như có bật phí giao thức hay không. Thông số chính:

Thông số	Giá trị	Nguồn
Đơn vị phát triển	LayerZero Labs, CEO Bryan Pellegrino	The Block, 20/6/2024
Ra mắt ZRO	20/6/2024	The Block
Tổng cung	1.000.000.000 ZRO	The Block
Phí giao thức	Chưa bật, bốn lần bỏ phiếu đều cho kết quả tắt	LayerZero Foundation
Cầu nối lớn trên LayerZero	Stargate, DAO Stargate duyệt cho LayerZero Foundation mua lại ngày 24/8/2025	The Block, 24/8/2025

Phí giao thức (fee switch) là khoản phí tối đa bằng chi phí xác minh và thực thi mỗi thông điệp; nếu được bật, tiền thu sẽ đổi sang ZRO rồi đốt. Theo trang của LayerZero Foundation, các lần bỏ phiếu 20–27/12/2024, 20–27/6/2025, 19–27/12/2025 và 20–27/6/2026 đều cho kết quả “Off” (tắt).

Tháng 8/2025, DAO Stargate bỏ phiếu cho LayerZero Foundation mua lại Stargate với gần 95% phiếu thuận. Người giữ STG đổi sang ZRO theo tỷ lệ 1 STG lấy 0,08634 ZRO, DAO Stargate giải thể; The Block định giá thương vụ khoảng 120 triệu USD theo giá token lúc đó.

LayerZero hoạt động thế nào?

Mỗi chuỗi có một hợp đồng Endpoint không sửa được; thông điệp chỉ được thực thi ở chuỗi đích khi đủ số bên xác minh mà ứng dụng đã chọn xác nhận. Theo tài liệu LayerZero, một thông điệp đi qua ba bước:

1. Hợp đồng gửi trên chuỗi A gọi hàm gửi của Endpoint, tạo một gói tin theo cấu hình của chính hợp đồng đó.
2. Các mạng xác minh phi tập trung (DVN) trong “bộ bảo mật” (Security Stack) của ứng dụng kiểm gói tin và gửi mã băm lên chuỗi B. Tài liệu viết ngưỡng dạng X trên Y trên N: cần đủ X DVN bắt buộc và đủ số DVN tùy chọn.
3. Khi đủ ngưỡng, một bên thực thi (Executor), thường là hợp đồng được ủy quyền, gọi hàm nhận để thực hiện thông điệp trên chuỗi B.

Điểm mấu chốt là bộ bảo mật do từng ứng dụng tự chọn. Bài giải thích DVN của LayerZero (9/2/2024) viết “mỗi ứng dụng xây trên LayerZero có thể cấu hình một Security Stack”, gồm DVN nào, bên thực thi nào và cần bao nhiêu xác nhận khối. Trang cấu hình cho môi trường thật ghi rõ “cấu hình DVN của ứng dụng là trách nhiệm của chủ ứng dụng”, và cảnh báo nếu ít hơn hai DVN thì “chỉ cần một DVN bị xâm phạm là có thể giả mạo thông điệp”.

Vai trò của DVN giống một bên đưa thông tin từ chuỗi này sang chuỗi khác, tương tự oracle đưa dữ liệu bên ngoài vào blockchain. Rủi ro chung của cầu nối, vì sao cầu nối hay là mục tiêu tấn công, có ở bài bridge blockchain là gì.

ZRO được phân bổ và mở khóa thế nào?

Cộng đồng được 38,3%, đối tác chiến lược 32,2%, người đóng góp cốt lõi 25,5%; hai nhóm sau khóa 1 năm rồi mở hàng tháng trong 2 năm. Theo The Block (20/6/2024):

Nhóm	Tỷ lệ	Ghi chú
Cộng đồng	38,3%	Gồm 8,5% airdrop đầu tiên, 15,3% cho các chương trình phân phối sau, 14,5% phát triển hệ sinh thái
Đối tác chiến lược	32,2%	Khóa 1 năm, mở hàng tháng trong 2 năm tiếp theo
Người đóng góp cốt lõi	25,5%	Như trên
LayerZero Labs mua lại	4%	Cam kết đưa vào phần cộng đồng

Bài báo không ghi mốc bắt đầu tính lịch. Nếu tính từ ngày ra mắt 20/6/2024, phần đối tác và đội ngũ mở khóa từ khoảng tháng 6/2025 đến khoảng tháng 6/2027, trung bình khoảng 24 triệu ZRO mỗi tháng (VietnamBit tính: 1 tỷ × 57,7% ÷ 24 tháng ≈ 24,04 triệu). Cách đọc tác động của lịch này có ở bài token unlock là gì.

Vì sao airdrop ZRO năm 2024 gây tranh cãi?

Hai điểm gây tranh cãi là cuộc săn ví ảo trước airdrop và điều kiện quyên góp 0,10 USD cho mỗi ZRO khi nhận. Diễn biến theo báo chí:

Thời điểm	Diễn biến	Nguồn
Từ 3/5/2024, trong 14 ngày	Ví ảo (sybil) được tự khai; ví tự khai đáp ứng tiêu chí nhận 15% phần lẽ ra được nhận	Cointelegraph, 18/5/2024
14/5/2024	CEO Bryan Pellegrino nói có tới khoảng 100.000 địa chỉ đã tự khai	The Block, 14/5/2024
18/5 đến 31/5/2024	Giai đoạn “săn” sybil: người báo được ít nhất 20 địa chỉ kèm phương pháp rõ ràng nhận 10% phần của ví bị báo	Cointelegraph
18/5/2024	Danh sách sơ bộ gồm 803.093 địa chỉ nghi là sybil; ban đầu đội ngũ gắn cờ hơn 2 triệu rồi thu hẹp tiêu chí	Cointelegraph
20/6/2024	Mở nhận 85 triệu ZRO (8,5% tổng cung) cho khoảng 1,28 triệu ví; mỗi ZRO nhận phải quyên góp 0,10 USD cho Protocol Guild, hạn đến 20/9/2024	The Block, 20/6/2024

Protocol Guild là quỹ trả cho các nhà nghiên cứu và phát triển lõi Ethereum; The Block ghi cơ chế này có thể gom tới 18,5 triệu USD, tiền quyên góp được trả dần trong 4 năm, và quỹ LayerZero góp thêm tương ứng tới 10 triệu USD. Trang này chỉ nêu dữ kiện; không đánh giá cách làm của LayerZero đúng hay sai.

Vụ KelpDAO tháng 4/2026 liên quan gì tới LayerZero?

Cầu nối rsETH của KelpDAO dùng cấu hình chỉ một bên xác minh là DVN của LayerZero Labs; kẻ tấn công đầu độc hạ tầng RPC mà DVN này dùng và rút khoảng 290 triệu USD. Các mốc theo nguồn:

Ngày	Diễn biến	Nguồn
18/4/2026	KelpDAO bị khai thác khoảng 290 triệu USD; CoinDesk ghi 116.500 rsETH bị rút khỏi cầu nối chạy trên LayerZero	LayerZero 19/4/2026, CoinDesk 20/4/2026
19/4/2026	LayerZero: cấu hình rsETH “dựa vào thiết lập 1 trên 1 DVN, LayerZero Labs là bên xác minh duy nhất”; vụ tấn công nhắm hạ tầng RPC phía sau DVN, không phải lỗi giao thức, DVN hay quản lý khóa; nghi phạm sơ bộ là nhóm Lazarus (TraderTraitor)	LayerZero, 19/4/2026
20/4/2026	KelpDAO phản bác: cấu hình 1 trên 1 “phản ánh cấu hình mặc định có trong tài liệu của LayerZero”; LayerZero nói KelpDAO chọn cấu hình này dù đã được khuyến nghị khác	CoinDesk, 20/4/2026
8/5/2026	LayerZero xin lỗi: “chúng tôi đã sai khi để DVN của mình đóng vai trò DVN 1 trên 1 cho giao dịch giá trị cao”; DVN của LayerZero Labs ngừng phục vụ cấu hình 1 trên 1, mặc định trên mọi tuyến chuyển dần sang 5 trên 5 khi có thể	LayerZero, 8/5/2026
20/5/2026	Báo cáo sự cố của LayerZero Labs: mất 116.500 rsETH, khoảng 292 triệu USD; Mandiant, CrowdStrike và các nhà nghiên cứu độc lập quy vụ tấn công cho nhóm TraderTraitor (UNC4899) của Triều Tiên. Theo báo cáo, xâm nhập bắt đầu từ 6/3/2026 khi kẻ tấn công lừa một nhà phát triển của LayerZero Labs để lấy khóa phiên đăng nhập, vào môi trường đám mây chứa RPC, đầu độc RPC nội bộ và tấn công từ chối dịch vụ một nhà cung cấp RPC bên ngoài. Báo cáo cũng viết cấu hình 2 trên 2 trước đó “đã bị chủ ứng dụng sửa” thành 1 trên 1; đây là lời của LayerZero, KelpDAO phản bác cách mô tả cấu hình	LayerZero Labs, 20/5/2026

Ngày 19/4/2026 LayerZero gọi việc quy cho nhóm Lazarus là dấu hiệu sơ bộ; báo cáo ngày 20/5/2026 dẫn Mandiant và CrowdStrike, hai công ty an ninh mạng do LayerZero Labs thuê, quy vụ tấn công cho nhóm TraderTraitor (UNC4899). Đây là kết luận của các công ty tư nhân; tính đến 29/10/2026, chúng tôi chưa thấy cơ quan nhà nước nào công bố kết luận về vụ này (đã tìm trên CoinDesk, The Block và qua công cụ tìm kiếm). Bài xin lỗi ngày 8/5/2026 cho biết vụ việc ảnh hưởng một ứng dụng, chiếm 0,14% số ứng dụng và khoảng 0,36% giá trị tài sản trên LayerZero.

Rủi ro đã thấy ở LayerZero

Rủi ro lớn nhất nằm ở cấu hình của từng ứng dụng, thứ người dùng cuối hầu như không nhìn thấy.

Rủi ro	Dữ kiện	Nguồn
Cấu hình xác minh yếu	Vụ KelpDAO: một bên xác minh, khoảng 290 triệu USD bị rút	LayerZero, CoinDesk
Trách nhiệm không rõ ràng	KelpDAO và LayerZero đổ lỗi cho nhau về cấu hình mặc định	CoinDesk, 20/4/2026
Mở khóa dần	57,7% tổng cung thuộc đối tác và đội ngũ, mở hàng tháng sau 1 năm khóa	The Block, 20/6/2024
Ví đa chữ ký của LayerZero Labs	Bài ngày 8/5/2026 cho biết khoảng ba năm rưỡi trước, một người ký đã dùng ví phần cứng của ví đa chữ ký cho giao dịch cá nhân; người này bị loại, ví được thay	LayerZero, 8/5/2026
Giá trị của ZRO	Phí giao thức chưa bật sau bốn lần bỏ phiếu	LayerZero Foundation

LayerZero ở Việt Nam có gì cần lưu ý?

ZRO là tài sản mã hóa theo Nghị quyết 05/2025/NQ-CP; tính đến 29/10/2026, chưa sàn nào được cấp phép, nên chưa có sàn được cấp phép nào niêm yết ZRO. Tài sản nào được niêm yết do từng sàn quyết định sau khi có giấy phép, xem sàn được cấp phép niêm yết tài sản nào.

• Chuyển tài sản qua cầu nối. Tài sản đi qua cầu nối chịu rủi ro của cả cầu nối lẫn cấu hình xác minh của nó. Người dùng chuyển tài sản từ sàn nước ngoài về sàn được cấp phép trong nước nên kiểm mạng rút và mạng nạp mà sàn nhận chính thức, xem chuyển tài sản về sàn trong nước.
• Lời mời “nhận ZRO”, “airdrop mùa 2”. Kịch bản yêu cầu kết nối ví, ký giao dịch hay nộp phí để nhận token là lừa đảo quen thuộc, xem airdrop giả mạo.
• Quảng cáo, môi giới ZRO. Theo Nghị quyết 05 Điều 4 khoản 4, chỉ tổ chức được Bộ Tài chính cấp phép mới được quảng cáo, tiếp thị liên quan đến tài sản mã hóa. Cá nhân vi phạm có thể bị phạt 90–100 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 7 khoản 4 điểm b, Điều 4 khoản 2).