KelpDAO poursuit LayerZero après l’exploit de 292 millions de dollars

Evercrest Technologies, la société à l’origine de KelpDAO, a déposé une plainte au civil en Colombie-Britannique contre LayerZero Labs, deux entités liées et son cofondateur Bryan Pellegrino, à la suite de l’exploit du 18 avril portant sur 116 500 rsETH, d’une valeur d’environ 292 millions de dollars. La plainte invoque négligence, fausse déclaration par négligence et diffamation, et réclame notamment des dommages-intérêts majorés et punitifs.

Selon la plainte, LayerZero a examiné et approuvé la configuration 1-of-1 du réseau de validateurs décentralisés du bridge Unichain. Evercrest affirme que LayerZero a écrit, le 2 février 2024, que la configuration par défaut ne posait « aucun problème », puis lui a demandé, le 21 mars, d’adopter la même configuration qu’un autre bridge. La société soutient que LayerZero ne l’a pas avertie des risques de sécurité liés à un validateur unique et ne lui a pas recommandé de recourir à plusieurs DVN.

Pourquoi c’est important

Le procès porte sur la responsabilité de l’évaluation et de la communication des risques liés à la configuration de sécurité d’un bridge. Evercrest affirme que LayerZero présentait son infrastructure DVN comme bénéficiant de redondances, de surveillance et d’alertes, et assurait qu’un validateur compromis pourrait tout au plus ne pas vérifier correctement un message. Selon la plainte, un attaquant a accédé à l’infrastructure de sécurité de LayerZero après avoir utilisé l’ingénierie sociale pour installer un logiciel malveillant sur l’ordinateur d’un développeur.

Evercrest affirme également que LayerZero avait averti un autre développeur, USDT0, des risques associés aux configurations DVN par défaut avant l’exploit. Ces allégations, ainsi que les versions contradictoires des parties sur la conformité de la configuration aux recommandations de LayerZero, sont au cœur du litige. Pellegrino a qualifié la plainte de « sans fondement » et déclaré qu’il se défendrait.

Impact sur le marché

KelpDAO affirme que l’exploit a compromis ses projets de stablecoin et que son produit sbUSD a ensuite été abandonné. Le protocole a également commencé à migrer rsETH vers une autre norme de sécurité inter-chaînes. Selon la société, les utilisateurs ont retiré plus de 650 millions de dollars d’actifs depuis l’attaque, ce qui souligne les conséquences potentielles des défaillances de sécurité des bridges sur la confiance des utilisateurs et la liquidité des protocoles.