LayerZero visé par une plainte de 292 M$ liée à KelpDAO

Evercrest Technologies, la société derrière KelpDAO, poursuit LayerZero Labs, sa filiale canadienne et son PDG Bryan Pellegrino en Colombie-Britannique au sujet de l’exploit d’avril, qui a entraîné le vol de 292 millions de dollars en rsETH. La plainte invoque la négligence, la présentation négligente de faits inexacts et la diffamation. Elle affirme que les utilisateurs de Kelp ont retiré plus de 650 millions de dollars depuis l’attaque. Au 4 août, des projets liés à environ 14,5 milliards de dollars d’actifs avaient annoncé leur départ de LayerZero vers Chainlink CCIP, soit près de 50 fois le montant dérobé. Pellegrino a qualifié la plainte de sans fondement.

Pourquoi c’est important

Le différend porte sur deux couches de sécurité qui ont échoué de différentes manières. Après avoir manipulé socialement un développeur, les attaquants ont compromis l’environnement RPC de LayerZero, puis empoisonné des nœuds internes et perturbé un fournisseur externe. Le vérificateur de LayerZero a alors approuvé un transfert falsifié, et 116 500 rsETH ont quitté le bridge de Kelp. Celui-ci ne nécessitait que l’approbation de ce vérificateur, sans vérificateur indépendant pour rejeter le faux message.

Evercrest affirme que LayerZero a examiné et approuvé par écrit la configuration à vérificateur unique, allant jusqu’à dire à Kelp en février 2024 qu’une configuration par défaut ne posait « aucun problème ». LayerZero affirme que Kelp a choisi de passer d’une configuration à deux signatures sur deux à une seule signature sur une. Ces affirmations n’ont pas encore été examinées par un tribunal. L’affaire pourrait contribuer à définir les responsabilités lorsqu’un client configure un système, mais qu’un fournisseur conseille cette configuration et exploite une infrastructure critique.

Impact sur le marché

Le décompte des migrations porte sur la valeur des actifs concernés par les annonces, et non sur les transferts effectués. BitGo représente environ 7,4 milliards de dollars du total annoncé au 4 août, dont le WBTC est la principale composante. BitGo a désigné CCIP comme fournisseur exclusif d’interopérabilité pour le WBTC et comme solution par défaut pour les futurs actifs émis par BitGo. La migration de Kelp est toujours en cours. Le jeton FRNT, émis par l’État du Wyoming, a lui aussi entièrement quitté LayerZero, CCIP devenant son fournisseur exclusif.

Depuis, LayerZero a cessé de signer sur les canaux où son vérificateur est le seul signataire requis et a porté à trois le nombre minimal de vérificateurs dans les parcours par défaut. Si Kelp étaye ses accusations concernant l’approbation de la configuration, les fournisseurs pourraient être davantage exposés juridiquement lorsqu’ils approuvent des configurations de sécurité personnalisées. La manière dont le tribunal définira cette responsabilité pourrait influer sur la façon dont les opérateurs de bridges et d’autres fournisseurs d’infrastructure choisissent les paramètres par défaut, documentent les risques et accompagnent leurs clients institutionnels.