KelpDAO demanda a LayerZero por el exploit de rsETH

Evercrest Technologies, la empresa detrás de KelpDAO, ha presentado una demanda civil en Columbia Británica contra LayerZero Labs, dos entidades vinculadas y su cofundador Bryan Pellegrino por el exploit del 18 de abril de 116.500 rsETH, valorados en unos 292 millones de dólares. La demanda alega negligencia, declaración negligente y difamación, y reclama una indemnización que incluye daños agravados y punitivos.

La demanda afirma que LayerZero revisó y respaldó la configuración 1-of-1 de la red de verificadores descentralizados del puente de Unichain. Evercrest sostiene que LayerZero escribió el 2 de febrero de 2024 que la configuración predeterminada no suponía «ningún problema» y le indicó el 21 de marzo que usara la misma configuración que otro puente. Según la empresa, LayerZero no advirtió de que depender de un único verificador entrañaba un riesgo de seguridad ni recomendó utilizar varios DVN.

Por qué importa

La demanda gira en torno a quién era responsable de evaluar y comunicar los riesgos de una configuración de seguridad de un puente. Evercrest afirma que LayerZero describió su infraestructura DVN como respaldada por redundancia, supervisión y alertas, y aseguró que un verificador comprometido, como máximo, no podría verificar correctamente un mensaje. La demanda alega que un atacante accedió a la infraestructura de seguridad de LayerZero después de recurrir a ingeniería social para instalar malware en el ordenador de un desarrollador.

Evercrest también afirma que, antes del exploit, LayerZero había advertido a otro desarrollador, USDT0, sobre los riesgos asociados a las configuraciones DVN predeterminadas. Estas alegaciones, junto con las versiones enfrentadas de las partes sobre si la configuración seguía las recomendaciones de LayerZero, son centrales en la disputa. Pellegrino calificó la demanda de «infundada» y dijo que se defendería.

Impacto en el mercado

KelpDAO afirma que el exploit trastocó sus planes para las stablecoins y que posteriormente retiró su producto sbUSD. También ha empezado a migrar rsETH a un estándar alternativo de seguridad entre cadenas. La empresa asegura que los usuarios han retirado activos por valor de más de 650 millones de dólares desde el ataque, lo que pone de relieve el posible impacto de los fallos de seguridad de los puentes en la confianza de los usuarios y la liquidez de los protocolos.