Desenvolvedor da KelpDAO processa a LayerZero por ataque de ponte que causou prejuízo de US$ 292 milhões

A empresa por trás da KelpDAO processou a LayerZero e seu diretor executivo pelo exploit quedrenou US$ 292 milhões do protocolo de restaking em abril, alegando que a LayerZero endossou por escrito a exata configuração de ponte que depois culpou pela perda.

A Evercrest Technologies apresentou a notificação de ação cível na Suprema Corte da Colúmbia Britânica na quarta-feira,nomeando a LayerZero Labs Ltd., a LayerZero Labs Canada Inc. e o cofundador Bryan Pellegrino, que é processado pessoalmente por postagens no Telegram e no X. A ação pleiteia declaração falsa negligente, negligência e difamação, e busca danos agravados e punitivos.

As pontes da KelpDAO operavam em uma configuração 1-de-1, o que significa que a própria rede de verificadores da LayerZero era a única parte a confirmar que os tokens haviam sido bloqueados em uma cadeia antes que tokens equivalentes fossem cunhados em outra.

A Evercrest afirma que essa foi a instrução da LayerZero. A LayerZero lhe disse em fevereiro de 2024 que seu código preliminar estava "bom" e que não havia "[n]enhum problema" em usar a configuração padrão, de acordo com o documento, e em março de 2024 direcionou explicitamente que usasse uma configuração 1-de-1 com o próprio verificador da LayerZero. Em janeiro de 2025, a LayerZero disse que, mesmo se um verificador fosse comprometido, o máximo que ele poderia fazer era falhar em verificar uma mensagem corretamente.

O documento também afirma que a LayerZero alertou um desenvolvedor separado, a USDT0, sobre riscos em suas configurações padrão de verificador no final de 2024 ou início de 2025, levando esse desenvolvedor a operar o seu próprio. A Evercrest afirma que não recebeu aviso comparável.

O exploit começou dentro da LayerZero, na conta da claim. Um atacante colocou malware no computador de um desenvolvedor da LayerZero em 6 de março, e então adulterou os nós da LayerZero para que eles fornecessem leituras falsas ao seu verificador. Em 18 de abril, o atacante desativou os nós de terceiros que o verificador também usava, de modo que foi informado de que 116.500 rsETH haviam sido bloqueados na Unichain quando nada havia acontecido. Com um único verificador exigido, os tokens foram cunhados sem lastro. A Evercrest diz que pausou as bridges em cerca de uma hora e bloqueou uma segunda tentativa.

As alegações de difamação giram em torno do que se seguiu. A declaração de incidente da LayerZero disse que a configuração de verificador único contradizia um modelo multi-DVN que ela havia "recomendado consistentemente a todos os parceiros de integração", e Pellegrino escreveu que "[n]inguém deveria estar confiando em um único DVN". Dias depois, segundo o processo, a LayerZero admitiu que havia "cometido um erro ao permitir que [seu] DVN atuasse como um DVN 1-de-1 para transações de alto valor".

A Evercrest alega danos, incluindo uma contribuição de 2.000 ETH para restaurar o lastro do rsETH, mais de US$ 650 milhões sacados desde o exploit, e uma queda no token KERNEL que atraiu avisos de reguladores e exchanges.

Pellegrinotuitou que a alegação "continua sendo infundada" e que ele encontraria a Evercrest em Vancouver para se defender. Nenhuma das alegações foi testada em tribunal, e nenhuma resposta à alegação foi apresentada.