KelpDAO processa a LayerZero por exploit de $292 milhões

A Evercrest Technologies, empresa responsável pela KelpDAO, apresentou uma ação cível na Colúmbia Britânica contra a LayerZero Labs, duas entidades relacionadas e o cofundador Bryan Pellegrino, na sequência do exploit de 18 de abril que afetou 116.500 rsETH, avaliados em cerca de $292 milhões. A ação alega negligência, declarações negligentes e difamação, e pede uma indemnização, incluindo danos agravados e punitivos.

A petição refere que a LayerZero analisou e aprovou a configuração 1-of-1 da rede de verificadores descentralizados da bridge Unichain. A Evercrest alega que, a 2 de fevereiro de 2024, a LayerZero escreveu que a configuração predefinida não tinha “qualquer problema” e que, a 21 de março, a instruiu a usar a mesma configuração de outra bridge. Afirma que a LayerZero não alertou para o risco de segurança associado à dependência de um único verificador nem recomendou vários DVNs.

Porque é importante

O processo centra-se em quem era responsável por avaliar e comunicar os riscos de uma configuração de segurança de bridge. A Evercrest afirma que a LayerZero descreveu a sua infraestrutura DVN como protegida por redundância, monitorização e alertas, e garantiu que um verificador comprometido, no máximo, poderia deixar de verificar corretamente uma mensagem. A ação alega que um atacante acedeu à infraestrutura de segurança da LayerZero depois de recorrer a engenharia social para instalar malware no computador de um programador.

A Evercrest afirma também que a LayerZero tinha alertado outro programador, a USDT0, para os riscos associados às configurações DVN predefinidas antes do exploit. Estas alegações, juntamente com as versões divergentes das partes sobre se a configuração seguia as recomendações da LayerZero, são centrais para a disputa. Pellegrino classificou a ação como “sem fundamento” e afirmou que se iria defender.

Impacto no mercado

A KelpDAO afirma que o exploit afetou os seus planos para stablecoins e que, mais tarde, o produto sbUSD foi descontinuado. A empresa iniciou também a migração de rsETH para uma norma de segurança cross-chain alternativa. Segundo a empresa, os utilizadores levantaram mais de $650 milhões em ativos desde o ataque, o que evidencia o potencial impacto das falhas de segurança das bridges na confiança dos utilizadores e na liquidez dos protocolos.