LayerZero: KelpDAO verklagt Firma nach 292-Mio.-Dollar-Exploit

Evercrest Technologies, das Unternehmen hinter KelpDAO, verklagt LayerZero Labs, dessen kanadische Tochtergesellschaft und CEO Bryan Pellegrino in British Columbia wegen des rsETH-Exploits im April, bei dem $292 Millionen erbeutet wurden. Die Klage wirft ihnen Fahrlässigkeit, fahrlässige Falschdarstellung und Verleumdung vor. Seit dem Angriff hätten Kelp-Nutzer Vermögenswerte im Wert von mehr als $650 Millionen abgezogen. Bis zum 4. August hatten Projekte, die mit Vermögenswerten im Umfang von rund $14,5 Milliarden verbunden sind, einen Wechsel von LayerZero zu Chainlink CCIP angekündigt. Das ist fast das 50-Fache des erbeuteten Betrags. Pellegrino bezeichnete die Klage als unbegründet.

Warum das wichtig ist

Im Streit geht es um zwei Sicherheitsebenen, die auf unterschiedliche Weise versagten. Angreifer kompromittierten LayerZeros RPC-Umgebung, nachdem sie einen Entwickler durch Social Engineering getäuscht hatten. Anschließend manipulierten sie interne Nodes und störten einen externen Anbieter. Daraufhin bestätigte LayerZeros Verifier eine gefälschte Transaktion, und 116.500 rsETH verließen Kelps Bridge. Kelps Bridge verlangte nur die Bestätigung dieses einen Verifiers. Ein unabhängiger Verifier war daher nicht erforderlich, um die falsche Nachricht zurückzuweisen.

Evercrest behauptet, LayerZero habe die Konfiguration mit nur einem Verifier schriftlich geprüft und genehmigt. Im Februar 2024 habe LayerZero Kelp mitgeteilt, eine Standardeinstellung sei „kein Problem“. LayerZero zufolge entschied sich Kelp selbst für den Wechsel von einer Konfiguration mit zwei erforderlichen Bestätigungen zu einer mit nur einer. Diese Behauptungen wurden vor Gericht noch nicht geprüft. Der Fall könnte klären, wer verantwortlich ist, wenn ein Kunde ein System konfiguriert, der Anbieter aber Empfehlungen zur Einrichtung gibt und kritische Infrastruktur betreibt.

Auswirkungen auf den Markt

Die Angaben zu den Migrationen beziehen sich auf angekündigte Vermögenswerte, nicht auf bereits abgeschlossene Transfers. BitGo macht rund $7,4 Milliarden der bis zum 4. August erfassten Summe aus. Den größten Anteil daran hat WBTC. BitGo erklärte CCIP zu seinem exklusiven Cross-Chain-Anbieter für WBTC und zum Standard für künftige von BitGo ausgegebene Vermögenswerte. Kelps Migration läuft noch. Auch Wyomings staatlich ausgegebener FRNT-Token wechselte vollständig von LayerZero weg und machte CCIP zu seinem exklusiven Anbieter.

LayerZero hat inzwischen aufgehört, Transaktionen auf Kanälen zu signieren, bei denen sein Verifier der einzige erforderliche Unterzeichner ist. Außerdem hat das Unternehmen die Zahl der Verifier in Standardpfaden auf mindestens drei erhöht. Sollte Kelp seine Vorwürfe zur Genehmigung belegen, könnten Anbieter stärker rechtlich dafür haften, individuell konfigurierte Sicherheitslösungen zu befürworten. Wie das Gericht diese Verantwortung bewertet, könnte beeinflussen, wie Bridge-Betreiber und andere Infrastrukturanbieter Standardeinstellungen festlegen, Risiken dokumentieren und institutionelle Kunden betreuen.