KelpDAO-Entwickler verklagt LayerZero wegen 292-Millionen-Dollar-Bridge-Exploit

Das Unternehmen hinter KelpDAO hat LayerZero und dessen CEO wegen des Exploits verklagt, der292 Millionen Dollar im April aus dem Restaking-Protokoll abgezogen hat, und behauptet, LayerZero habe schriftlich genau die Bridge-Konfiguration befürwortet, die es später für den Verlust verantwortlich machte.

Evercrest Technologies reichte die Klageschrift am Mittwoch beim Supreme Court of British Columbia ein undnannte LayerZero Labs Ltd., LayerZero Labs Canada Inc. und Mitgründer Bryan Pellegrino, der persönlich wegen Beiträgen auf Telegram und X verklagt wird. Sie macht fahrlässige Falschdarstellung, Fahrlässigkeit und Verleumdung geltend und fordert verschärften und Strafschadenersatz.

Die Bridges von KelpDAO betrieben ein 1-von-1-Setup, was bedeutet, dass LayerZeros eigenes Verifier-Netzwerk die einzige Partei war, die bestätigte, dass Token auf einer Chain gesperrt worden waren, bevor äquivalente Token auf einer anderen geprägt wurden.

Evercrest behauptet, dass dies LayerZeros Anweisung war. LayerZero teilte ihm im Februar 2024 mit, dass sein Codeentwurf "gut" sei und dass es "[k]ein Problem" sei, die Standardkonfiguration zu verwenden, so die Klageschrift, und wies es im März 2024 ausdrücklich an, ein 1-von-1-Setup mit LayerZeros eigenem Verifier zu verwenden. Im Januar 2025 erklärte LayerZero, dass selbst wenn ein Verifier kompromittiert würde, das Schlimmste, was er tun könnte, darin bestehe, eine Nachricht nicht korrekt zu verifizieren.

Die Klageschrift besagt auch, dass LayerZero einen separaten Entwickler, USDT0, Ende 2024 oder Anfang 2025 vor Risiken in seinen Standard-Verifier-Konfigurationen warnte, was diesen Entwickler dazu veranlasste, seinen eigenen zu betreiben. Evercrest behauptet, keine vergleichbare Warnung erhalten zu haben.

Der Exploit begann innerhalb von LayerZero, auf dem Konto des Anspruchs. Ein Angreifer brachte am 6. März Malware auf den Computer eines LayerZero-Entwicklers und manipulierte dann die Knoten von LayerZero, sodass sie falsche Messwerte an seinen Verifizierer lieferten. Am 18. April deaktivierte der Angreifer die Knoten von Drittanbietern, die der Verifizierer ebenfalls nutzte, sodass ihm gemeldet wurde, dass 116.500 rsETH auf Unichain gesperrt worden seien, obwohl nichts dergleichen geschehen war. Da nur ein Verifizierer erforderlich war, wurden die Token ohne Deckung geprägt. Evercrest sagt, es habe die Bridges innerhalb von etwa einer Stunde pausiert und einen zweiten Versuch blockiert.

Die Verleumdungsklagen drehen sich um das, was folgte. In der Incident-Erklärung von LayerZero hieß es, das Setup mit einem einzigen Verifizierer widerspreche einem Multi-DVN-Modell, das es „allen Integrationspartnern stets empfohlen“ habe, und Pellegrino schrieb, dass „[n]iemand sich auf einen einzigen DVN verlassen sollte“. Tage später, so heißt es in der Klageschrift, räumte LayerZero ein, es habe „einen Fehler gemacht, indem es [seinem] DVN erlaubte, als 1-von-1-DVN für Transaktionen mit hohem Wert zu fungieren“.

Evercrest beansprucht Schäden, darunter einen Beitrag von 2.000 ETH zur Wiederherstellung der Deckung von rsETH, mehr als 650 Millionen Dollar, die seit dem Exploit abgezogen wurden, und einen Rückgang des KERNEL-Tokens, der Warnungen von Regulierungsbehörden und Börsen nach sich zog.

Pellegrinotweetete, dass der Anspruch „weiterhin unbegründet“ sei und dass er sich mit Evercrest in Vancouver treffen werde, um sich zu verteidigen. Keine der Behauptungen wurde vor Gericht geprüft, und es wurde keine Antwort auf den Anspruch eingereicht.