Desarrollador de KelpDAO demanda a LayerZero por el exploit de puente de 292 millones de dólares

La empresa detrás de KelpDAO ha demandado a LayerZero y a su director ejecutivo por la explotación quedrenó 292 millones de dólares del protocolo de restaking en abril, alegando que LayerZero respaldó por escrito la configuración exacta del puente que luego culpó por la pérdida.

Evercrest Technologies presentó el aviso de demanda civil ante la Corte Suprema de Columbia Británica el miércoles,nombrando a LayerZero Labs Ltd., LayerZero Labs Canada Inc. y al cofundador Bryan Pellegrino, quien es demandado personalmente por publicaciones en Telegram y X. Se alega declaración negligente, negligencia y difamación, y se buscan daños agravados y punitivos.

Los puentes de KelpDAO operaban con una configuración 1-de-1, lo que significa que la propia red de verificadores de LayerZero era la única parte que confirmaba que los tokens habían sido bloqueados en una cadena antes de que se acuñaran tokens equivalentes en otra.

Evercrest afirma que esa fue la instrucción de LayerZero. LayerZero le dijo en febrero de 2024 que su código preliminar era "bueno" y que no había "[n]ingún problema" en usar la configuración predeterminada, según el expediente, y en marzo de 2024 le indicó explícitamente que usara una configuración 1-de-1 con el propio verificador de LayerZero. En enero de 2025, LayerZero dijo que incluso si un verificador fuera comprometido, lo máximo que podría hacer era no verificar un mensaje correctamente.

El expediente también dice que LayerZero advirtió a un desarrollador separado, USDT0, sobre riesgos en sus configuraciones de verificador predeterminadas a finales de 2024 o principios de 2025, lo que llevó a ese desarrollador a ejecutar el suyo propio. Evercrest dice que no recibió una advertencia comparable.

El exploit comenzó dentro de LayerZero, en la cuenta del reclamo. Un atacante colocó malware en la computadora de un desarrollador de LayerZero el 6 de marzo, y luego manipuló los nodos de LayerZero para que enviaran lecturas falsas a su verificador. El 18 de abril, el atacante deshabilitó los nodos de terceros que el verificador también utilizaba, por lo que se le informó que 116.500 rsETH habían sido bloqueados en Unichain cuando nada había ocurrido. Con un solo verificador requerido, los tokens fueron acuñados sin respaldo. Evercrest dice que pausó los puentes en aproximadamente una hora y bloqueó un segundo intento.

Las afirmaciones de difamación se centran en lo que siguió. La declaración de incidente de LayerZero dijo que la configuración de un solo verificador contradecía un modelo multi-DVN que había "recomendado consistentemente a todos los socios de integración", y Pellegrino escribió que "[n]adie debería estar confiando en un único DVN". Días después, según la presentación, LayerZero admitió que había "cometido un error al permitir que [su] DVN actuara como un DVN 1-de-1 para transacciones de alto valor".

Evercrest reclama daños que incluyen una contribución de 2.000 ETH para restaurar el respaldo de rsETH, más de 650 millones de dólares retirados desde el exploit, y una caída en el token KERNEL que atrajo advertencias de reguladores y exchanges.

Pellegrinotuiteó que el reclamo "sigue careciendo de mérito" y que se reuniría con Evercrest en Vancouver para defenderse. Ninguna de las acusaciones ha sido probada en un tribunal, y no se ha presentado ninguna respuesta al reclamo.