Le développeur de KelpDAO poursuit LayerZero après l'exploit de pont de 292 M$

La société derrière KelpDAO a poursuivi LayerZero et son directeur général au sujet de l'exploit quia vidé 292 millions de dollars du protocole de restaking en avril, alléguant que LayerZero a approuvé par écrit la configuration de pont exacte qu'elle a ensuite blâmée pour la perte.

Evercrest Technologies a déposé l'avis de plainte civile devant la Cour suprême de la Colombie-Britannique mercredi,nommant LayerZero Labs Ltd., LayerZero Labs Canada Inc. et le cofondateur Bryan Pellegrino, qui est poursuivi personnellement pour des publications sur Telegram et X. Elle invoque des déclarations inexactes par négligence, de la négligence et de la diffamation, et demande des dommages-intérêts aggravés et punitifs.

Les ponts de KelpDAO fonctionnaient avec une configuration 1-sur-1, ce qui signifie que le propre réseau de vérificateurs de LayerZero était la seule partie à confirmer que des jetons avaient été verrouillés sur une chaîne avant que des jetons équivalents ne soient frappés sur une autre.

Evercrest affirme que c'était l'instruction de LayerZero. LayerZero lui a dit en février 2024 que son code préliminaire était « bon » et qu'il n'y avait « [a]ucun problème » à utiliser la configuration par défaut, selon le dépôt, et en mars 2024 lui a explicitement demandé d'utiliser une configuration 1-sur-1 avec le propre vérificateur de LayerZero. En janvier 2025, LayerZero a déclaré que même si un vérificateur était compromis, tout ce qu'il pouvait faire au maximum était de ne pas vérifier correctement un message.

Le dépôt indique également que LayerZero a averti un autre développeur, USDT0, des risques liés à ses configurations de vérificateur par défaut fin 2024 ou début 2025, ce qui a incité ce développeur à utiliser le sien. Evercrest affirme qu'elle n'a reçu aucun avertissement comparable.

L'exploit a commencé à l'intérieur de LayerZero, sur le compte de la réclamation. Un attaquant a installé un logiciel malveillant sur l'ordinateur d'un développeur de LayerZero le 6 mars, puis a altéré les nœuds de LayerZero afin qu'ils transmettent de fausses lectures à son vérificateur. Le 18 avril, l'attaquant a désactivé les nœuds tiers que le vérificateur utilisait également, de sorte qu'on lui a indiqué que 116 500 rsETH avaient été verrouillés sur Unichain alors que rien ne l'avait été. Avec un seul vérificateur requis, les jetons ont été frappés sans garantie. Evercrest affirme avoir mis en pause les ponts en environ une heure et avoir bloqué une seconde tentative.

Les allégations de diffamation portent sur ce qui a suivi. La déclaration d'incident de LayerZero indiquait que la configuration à vérificateur unique contredisait un modèle multi-DVN qu'elle avait « constamment recommandé à tous les partenaires d'intégration », et Pellegrino a écrit que « [p]ersonne ne devrait se fier à un seul DVN ». Quelques jours plus tard, selon la plainte, LayerZero a admis avoir « commis une erreur en permettant à [son] DVN d'agir comme un DVN 1-sur-1 pour des transactions de grande valeur ».

Evercrest réclame des dommages-intérêts, notamment une contribution de 2 000 ETH pour restaurer la garantie de rsETH, plus de 650 millions de dollars retirés depuis l'exploit, et une chute du jeton KERNEL qui a suscité des avertissements des régulateurs et des exchanges.

Pellegrinoa tweeté que la réclamation « continue d'être sans fondement » et qu'il rencontrerait Evercrest à Vancouver pour se défendre. Aucune des allégations n'a été testée devant un tribunal, et aucune réponse à la réclamation n'a été déposée.