跨链消息平台LayerZero近日再度卷入安全治理争议。根据5月8日公开的指控信息，LayerZero用于保护用户资产及其OFT基础设施关键权限的生产环境多签签名地址，曾被用于在Uniswap上交易迷因币McPepes（PEPES）。这一消息迅速在加密社区发酵，并将焦点重新拉回到区块链基础设施项目最核心的安全问题——生产密钥是否做到严格隔离。
争议核心：2/5 Gnosis Safe多签被指“越权使用”
此次争议围绕LayerZero的2-of-5 Gnosis Safe多签钱包展开。按照报道，该多签机制承担着重要职责，不仅与用户代币安全相关，也控制着LayerZero OFT（Omnichain Fungible Token）基础设施中的关键参数。外界质疑的关键点不在于一次普通链上交易本身，而在于这些本应用于高敏感权限管理的签名地址，被指还参与了与多签职责无关的链上活动。
流传于X平台的内部讨论截图显示，五个签名者中有三人所控制的地址存在其他链上使用记录。报道点名的地址包括：一个与McPepes交易及Hop平台相关的地址；一个据称持有约1200万美元资产并参与Stargate质押的地址；以及一个参与Curve、PancakeSwap和SpookySwap流动性提供的地址。这些信息共同构成外界的核心担忧：生产环境签名密钥可能并未与日常操作或个人链上行为完全分离。
一笔McPepes交易为何引爆市场质疑
在所有证据中，最受关注的是一笔发生于2023年3月1日的链上交易。该交易显示，有地址通过Uniswap V3将0.198548073枚ETH兑换为约173万枚McPepes代币。批评者认为，这笔交易强化了“生产密钥接触外部网站和复杂智能合约”的风险叙事，因为一旦此类高权限钱包访问存在恶意代码、钓鱼页面或受污染前端，潜在后果可能远超普通钱包受损。
从安全运维角度看，问题的严重性在于所谓OPSEC（操作安全）原则被打破。基础设施项目通常要求生产密钥只能用于极少数、经过严格审计的关键操作，避免与任何非必要智能合约交互。若同一组密钥既负责高权限签名，又参与代币交易、流动性提供或质押活动，就可能显著扩大攻击面。
更深层隐忧：无时间锁与密钥长期静置
除迷因币交易指控外，报道还提到该多签设置缺乏timelock（时间锁）机制，且相关密钥多年未发生明显轮换。对于掌控关键桥接组件和DVN设置、协议库权限的多签而言，这类配置往往会加剧市场担忧。原因在于，一旦高权限密钥管理不当，而攻击者又获得足够数量的签名权，风险便可能迅速传导至跨链资产层面。
报道特别强调，只需两把被盗密钥，就可能清空整个多签控制的钱包。尽管这属于基于多签结构本身的风险描述，而非已发生事件，但对于依赖LayerZero默认配置或其跨链通信能力的协议而言，这无疑会引发更严格的安全复核。
LayerZero回应：并非迷因币投机，而是历史测试行为
面对外界指控，LayerZero CEO Bryan Pellegrino进行了回应。他表示，相关交易来自已经被移出多签体系的前成员，并否认这是所谓的“memecoin trading（迷因币交易）”。按照他的说法，这些操作本质上属于OFT测试，而非投机行为；同时，涉事钱包如今已不再承担签名职责。
不过，这一解释并未完全平息质疑。部分观察人士指出，涉事代币是McPepes而非PEPE，且从ETH通过Uniswap兑换迷因币的路径，很难直接被外界理解为常规的OFT功能测试。更重要的是，截至报道发布时，LayerZero尚未公开完整的反驳材料，也未发布针对过往签名者全部操作记录的系统性审计结果。因此，市场对“当时是否存在流程失范”的讨论仍在持续。
安全质疑叠加业务变动，压力进一步放大
此次风波发生的时间点也颇为敏感。就在相关指控受到关注前不久，Solv Protocol宣布计划将超过7亿美元的代币化BTC资产——包括SolvBTC和xSolvBTC——从LayerZero迁移至Chainlink的CCIP。Solv方面给出的原因包括安全审查更新以及桥接相关问题。尽管其公告未直接点名此次多签争议，但市场普遍认为，这反映出大型协议对跨链基础设施安全模型正变得更加谨慎。
与此同时，围绕LayerZero桥接安全的既有讨论也被重新翻出，包括近期与Kelp DAO攻击事件相关的链路风险。虽然不能据此直接认定LayerZero存在系统性失守，但在加密市场中，“安全预期”本身就是竞争力的一部分。一旦头部项目在密钥管理、权限隔离和默认配置上遭遇持续质疑，其生态合作、机构采用以及跨链资产流入都可能受到影响。
市场影响：信任成本上升，跨链赛道安全标准或再提高
从市场层面看，这一事件短期内对LayerZero的直接冲击，可能不只是舆论压力，更包括合作方对其安全架构进行二次尽调。跨链协议是加密行业中风险最为集中的基础设施之一，因为它连接多链流动性，任何权限失误都可能引发连锁损失。因而，即便此次事件尚未造成明确资金损失，只要暴露出安全流程可能不够严谨，市场就会迅速上调风险定价。
更广泛地说，这场争议也再次提醒行业：多签并不天然等于安全，关键在于签名人管理、密钥隔离、硬件环境、权限拆分和时间锁设计是否完善。对于LayerZero而言，若希望平息外界担忧，后续可能需要通过更透明的审计披露、签名架构更新以及治理流程说明来恢复信任。而对整个跨链赛道来说，生产密钥绝不应兼作普通链上交互工具，或将成为未来更加明确、也更加严格的行业共识。