LayerZero afronta una demanda de KelpDAO por 292 millones

Evercrest Technologies, la empresa detrás de KelpDAO, ha demandado a LayerZero Labs, a su filial canadiense y a su CEO, Bryan Pellegrino, en la Columbia Británica por el exploit de rsETH de abril, que causó pérdidas de 292 millones de dólares. La demanda alega negligencia, declaración negligente y difamación, y afirma que los usuarios de Kelp han retirado más de 650 millones de dólares desde el ataque. A 4 de agosto, proyectos vinculados a unos 14.500 millones de dólares en activos habían anunciado su traslado de LayerZero a Chainlink CCIP, casi 50 veces el valor sustraído. Pellegrino ha calificado la demanda de infundada.

Por qué importa

El conflicto gira en torno a dos capas de seguridad que fallaron de distinta manera. Los atacantes comprometieron el entorno RPC de LayerZero tras engañar a un desarrollador mediante ingeniería social; después, envenenaron nodos internos e interrumpieron un proveedor externo. Como resultado, el verificador de LayerZero aprobó una transferencia falsificada y 116.500 rsETH salieron del puente de Kelp. El puente de Kelp solo exigía ese único verificador, por lo que no había ningún verificador independiente que pudiera rechazar el mensaje falso.

Evercrest sostiene que LayerZero revisó y aprobó por escrito la configuración de un solo verificador, e incluso dijo a Kelp en febrero de 2024 que una configuración predeterminada «no daba problemas». LayerZero afirma que Kelp decidió pasar de una configuración de dos de dos a otra de uno de uno. Estas alegaciones aún no se han examinado ante los tribunales. El caso podría ayudar a definir quién es responsable cuando un cliente configura un sistema, pero un proveedor asesora sobre la configuración y opera infraestructura crítica.

Impacto en el mercado

El recuento de migraciones mide el valor de los activos cuyo traslado se ha anunciado, no el de las transferencias completadas. BitGo representa unos 7.400 millones de dólares del total a 4 de agosto, y WBTC es su mayor componente. BitGo designó CCIP como su proveedor exclusivo entre cadenas para WBTC y como la opción predeterminada para futuros activos emitidos por BitGo. La migración de Kelp sigue en curso. El token FRNT, emitido por el estado de Wyoming, también abandonó por completo LayerZero y convirtió a CCIP en su proveedor exclusivo.

Desde entonces, LayerZero ha dejado de firmar en canales donde su verificador es el único firmante exigido y ha elevado a tres el mínimo de verificadores en las rutas predeterminadas. Si Kelp demuestra sus alegaciones sobre la aprobación, los proveedores podrían afrontar una mayor responsabilidad legal por avalar configuraciones de seguridad personalizadas. La decisión del tribunal sobre esa responsabilidad podría influir en cómo los operadores de puentes y otros proveedores de infraestructura establecen valores predeterminados, documentan los riesgos y atienden a clientes institucionales.