O desenvolvedor do KelpDAO processa a LayerZero no Canadá por causa da exploração de rsETH avaliada em 292 milhões de dólares

A LayerZero, a sua filial canadiana e o CEO Bryan Pellegrino foram citados como réus na quinta-feira num processo por negligência e difamação perante o principal tribunal de primeira instância da Colúmbia Britânica.

A Evercrest Technologies, que gere a KelpDAO, relaciona o caso com o roubo de 116.500 rsETH ocorrido a 18 de abril, um valor estimado em cerca de 292 milhões de dólares na altura.

A USDT0 recebeu um aviso do verificador que a Evercrest nunca recebeu, alega a queixa

A ação, interposta no registo de Vancouver, acrescenta a alegação de declaração falsa por negligência e procura indemnizações por danos agravados e punitivos, além das indemnizações comuns.

O próprio verificador da LayerZero era o único necessário para aprovar a transação antes que o rsETH bloqueado numa blockchain pudesse ser cunhado noutra. A ponte da Kelp utilizava uma rede de verificação descentralizada (DVN) 1 de 1.

A vulnerabilidade foi "uma falha na própria infraestrutura de segurança da LayerZero", o documento apresentado .

A Evercrest alega que a LayerZero lhe disse, a 2 de fevereiro de 2024, que a configuração padrão não apresentava "qualquer problema". A alegação refere que, em 21 de março de 2024, a LayerZero instruiu a Evercrest para clonar a configuração idêntica de outra ponte.

A proposta da LayerZero, datada de janeiro de 2025 no processo, era uma rede de verificadores redundante e monitorizada, onde um verificador comprometido poderia, no máximo, "falhar em verificar uma mensagem corretamente"

O USDT0 recebeu uma mensagem diferente. A Evercrest afirma que a Kelp nunca recebeu um aviso, enquanto a LayerZero alertou o programador do USDT0 para os riscos das definições padrão do verificador no final de 2024 ou início de 2025, e este programador passou a executar o seu próprio verificador.

Os levantamentos ultrapassaram os 650 milhões de dólares após a operação realizada a 18 de abril

A alegação situa a violação dentro da LayerZero. De acordo com a Evercrest, o ponto de entrada do atacante foi o computador de um único programador da LayerZero, comprometido através de engenharia social e malware, e a transação rsETH foi enviada no dia 18 de abril, por volta das 17h35 UTC.

O documento refere que a Kelp encerrou o seu projeto de stablecoin sbUSD após o ataque e está a migrar o rsETH para outro padrão de segurança entre blockchains. A Kelp selecionou Chainlinko CCIP da Cryptopolitan.

Segundo a Evercrest, os levantamentos relacionados com a KelpDAO ultrapassaram os 650 milhões de dólares desde abril.

A acusação de difamação refere-se à reação da LayerZero ao ataque. Na sua análise pós-ataque, a empresa afirmou que a configuração de Kelp "contradiz diretamente" o modelo multi-DVN defendido pela LayerZero.

A Evercrest incorpora esta linha de argumentação e a culpabilização pública de Pellegrino no seu caso.

Em maio, Pellegrino afirmou que a versão de Kelp era "completamente falsa" e que Kelp foi lançada na rede multi-DVN padrão da LayerZero e convertida para 1-of-1 por conta própria, Cryptopolitan .

Respondeu à nova queixa sobre X, dizendo que a alegação "continua sem fundamento" e que se vai defender.

Cryptopolitan informou que 47% dostracativos da aplicação LayerZero estavam a executar configurações 1-de-1 no momento da exploração, uma configuração que a LayerZero já proibiu.

As mentes mais brilhantes do mundo das criptomoedas já leem nossa newsletter. Quer participar? Junte-se a elas.