KelpDAO presentó una demanda contra LayerZero y su cofundador y CEO, Bryan Pellegrino, por un exploit de abril que resultó en el robo de 116,500 rsETH con un valor aproximado de 292 millones de dólares.

La acción legal lleva a los tribunales una disputa que antes se había desarrollado mediante informes técnicos y declaraciones públicas. KelpDAO alega que LayerZero no divulgó vulnerabilidades y riesgos importantes en su tecnología y no protegió adecuadamente la infraestructura utilizada por su sistema de verificación. Las acusaciones no han sido probadas en los tribunales

KelpDAO lleva la disputa con LayerZero a los tribunales

KelpDAO anunció la demanda el 25 de septiembre, varios meses después del exploit de abril, y señala que busca responsabilizar a LayerZero y a Pellegrino por las pérdidas y daños que el protocolo atribuye al exploit.

— Kelp (@KelpDAO) September 25, 2026

La publicación fue hecha por KelpDAO en X: https://x.com/KelpDAO/status/2103332910128599327?ref_src=twsrc%5Etfw

Pellegrino ha calificado la demanda de frívola y dijo que tiene la intención de impugnarla en Vancouver. La disputa se centra en las versiones divergentes de las partes sobre cómo el puente quedó vulnerable y quién fue responsable de las condiciones que permitieron el ataque.

El exploit de rsETH de 292 millones de dólares

Un atacante robó 116,500 rsETH, que tenían un valor total de aproximadamente 292 millones de dólares al momento del incidente. Según la investigación de LayerZero, el atacante primero utilizó ingeniería social para obtener acceso a través de un desarrollador de LayerZero antes de infiltrarse en el sistema de llamadas a procedimientos remotos (RPC) de la compañía.

La infraestructura comprometida suministró datos fraudulentos de la blockchain al sistema de verificación de LayerZero. Esos datos permitieron que un mensaje cross-chain malformado recibiera una certificación válida. El mensaje falso finalmente desencadenó la liberación de rsETH sin una quema correspondiente de tokens en la cadena de origen. En este tipo de mecanismo de puente, las liberaciones en una cadena deben corresponderse con quemas en, manteniendo alineado el suministro del activo transferido entre cadenas.

Chainalysis determinó que los atacantes no explotaron vulnerabilidades conocidas en los contratos inteligentes de KelpDAO.

Por qué la configuración 1-of-1 DVN es central

LayerZero señala que el puente de rsETH de KelpDAO estaba conectado a una Red de Verificadores Descentralizada (DVN) 1-of-1, con LayerZero Labs como único verificador, lo que significa que una sola certificación era suficiente para que un mensaje cross-chain se considerara válido. LayerZero ha argumentado que esta configuración creó un punto único de falla: si el verificador era comprometido, no había un verificador independiente disponible para rechazar el mensaje falsificado.

LayerZero también ha dicho que recomendó usar múltiples DVN para redundancia. KelpDAO disputa esa versión y afirma que LayerZero revisó y aprobó por escrito el despliegue y la configuración del puente. Esa afirmación es ahora parte del litigio.

KelpDAO traslada rsETH fuera de LayerZero

Después del exploit, KelpDAO enfocó sus esfuerzos en la seguridad cross-chain de su sistema. El protocolo se propuso trasladar el puente de rsETH fuera de la infraestructura de LayerZero y hacia Chainlink CCIP, el protocolo de interoperabilidad cross-chain de Chainlink.

LayerZero también respondió eliminando el soporte de configuraciones 1-of-1 DVN para aplicaciones comprometidas y fortaleciendo la infraestructura relacionada con el ataque.

La demanda somete la discrepancia técnica al escrutinio judicial. Entre los temas centrales están la responsabilidad por la infraestructura comprometida, la configuración del puente y las advertencias de seguridad brindadas antes del exploit de 292 millones de dólares. La disputa ilustra cómo los puentes cross-chain dependen tanto de la infraestructura de mensajería que los soporta como de las configuraciones elegidas por las aplicaciones que los utilizan.

Fuente: CryptoNinjas