LayerZero enfrenta processo de $292 milhões da KelpDAO

A Evercrest Technologies, empresa por detrás da KelpDAO, está a processar a LayerZero Labs, a sua afiliada canadiana e o CEO Bryan Pellegrino na Colúmbia Britânica, devido à exploração de rsETH de abril, que causou prejuízos de $292 milhões. A ação alega negligência, falsas declarações negligentes e difamação, e afirma que os utilizadores da Kelp levantaram mais de $650 milhões desde o ataque. Até 4 de agosto, projetos associados a cerca de $14,5 mil milhões em ativos tinham anunciado a saída da LayerZero para a Chainlink CCIP, quase 50 vezes o valor roubado. Pellegrino classificou o processo como infundado.

Porque é importante

O litígio centra-se em duas camadas de segurança que falharam de formas diferentes. Os atacantes comprometeram o ambiente RPC da LayerZero depois de manipularem socialmente um programador, e depois envenenaram nós internos e perturbaram um fornecedor externo. O verificador da LayerZero aprovou, por isso, uma transferência forjada, e 116 500 rsETH saíram da bridge da Kelp. A bridge da Kelp exigia apenas esse verificador, pelo que não havia um verificador independente que pudesse rejeitar a mensagem falsa.

A Evercrest alega que a LayerZero analisou e aprovou por escrito a configuração com um único verificador, incluindo ao dizer à Kelp, em fevereiro de 2024, que a configuração predefinida não tinha «nenhum problema». A LayerZero afirma que foi a Kelp que optou por passar de uma configuração dois-de-dois para uma um-de-um. Estas alegações ainda não foram apreciadas em tribunal. O caso poderá ajudar a definir a responsabilidade quando um cliente configura um sistema, mas um fornecedor aconselha sobre a configuração e opera infraestruturas críticas.

Impacto no mercado

O valor das migrações contabiliza ativos abrangidos por anúncios, não transferências concluídas. A BitGo representa cerca de $7,4 mil milhões do total anunciado até 4 de agosto, sendo o WBTC a sua maior componente. A BitGo nomeou a CCIP como fornecedor exclusivo de serviços cross-chain para o WBTC e como opção predefinida para futuros ativos emitidos pela empresa. A migração da Kelp ainda está em curso. O token FRNT, emitido pelo estado do Wyoming, também saiu por completo da LayerZero e adotou a CCIP como fornecedor exclusivo.

Desde então, a LayerZero deixou de assinar em canais onde o seu verificador é o único signatário exigido e aumentou para pelo menos três verificadores o número mínimo nas configurações predefinidas. Se a Kelp comprovar as alegações de que a configuração foi aprovada, os fornecedores poderão ficar mais expostos a ações judiciais por avaliarem configurações de segurança personalizadas. A forma como o tribunal abordar essa responsabilidade poderá influenciar a maneira como os operadores de bridges e outros fornecedores de infraestruturas definem as configurações predefinidas, documentam os riscos e prestam serviços a clientes institucionais.