Evercrest Technologies, l'entité juridique derrière KelpDAO, a déposé une réclamation civile en Colombie-Britannique contre LayerZero et son cofondateur Bryan Pellegrino au sujet de l'exploit du pont rsETH du 18 avril qui a entraîné des pertes d'environ 292 millions de dollars. Le dépôt a été annoncé dans une publication sur X.

Kelp affirme que les défendeurs n'ont pas adéquatement divulgué les risques de la technologie de LayerZero et n'ont pas empêché les attaquants de compromettre l'infrastructure utilisée pour vérifier les transactions inter-chaînes. La réclamation allègue également que LayerZero avait examiné et approuvé par écrit le déploiement et la configuration du pont de Kelp avant l'attaque. Ces allégations n'ont pas été jugées.

Cette action en justice fait suite à des mois de désaccord concernant un exploit dans lequel 116 500 rsETH ont été libérés d'un contrat de pont Ethereum sans brûlure correspondante sur la chaîne source. Dans la mécanique des ponts, cette brûlure compense les jetons libérés un pour un en détruisant leurs homologues sur la chaîne d'origine ; sans elle, les rsETH libérés sur Ethereum n'avaient aucune destruction compensatoire derrière eux.

L'infrastructure de LayerZero a été compromise avant la libération des rsETH

Le rapport d'incident final de LayerZero a retracé l'intrusion jusqu'au 6 mars, lorsqu'un attaquant a manipulé un développeur de LayerZero par ingénierie sociale et obtenu des identifiants de session. L'attaquant a ensuite pénétré dans l'environnement cloud de LayerZero et modifié les nœuds RPC internes utilisés par le Decentralized Verifier Network (DVN) de LayerZero Labs, la couche responsable d'attester que les inter-chaînes sont légitimes avant que les ponts n'agissent en conséquence.

Le 18 avril, les fournisseurs RPC externes, les services qui relaient les données de la blockchain aux applications et aux vérificateurs, ont été frappés par une attaque par déni de service, laissant le vérificateur dépendant de nœuds internes compromis qui fournissaient un faux état de la blockchain. Le DVN de LayerZero Labs a alors généré une attestation valide pour un message inter-chaînes falsifié, et le pont Ethereum de Kelp a libéré 116 500 rsETH alors même que la brûlure correspondante sur la chaîne source n'avait jamais eu lieu.

Un second message falsifié ciblant 40 000 rsETH supplémentaires a été authentifié mais n'a pas été exécuté après que Kelp a mis en pause les contrats concernés. La société de sécurité Blockaid a indépendamment identifié le chemin de vérification 1-of-1 et confirmé, dans son analyse, qu'aucun second vérificateur n'était présent pour rejeter le faux message.

Le procès cible le différend sur la configuration DVN 1-of-1

LayerZero a toujours maintenu que la configuration du pont de Kelp créait le point de défaillance unique décisif. Dans sa déclaration d'incident d'avril, la société a indiqué que rsETH reposait sur une configuration DVN 1-of-1, ce qui signifiait que le vérificateur de LayerZero Labs pouvait à lui seul autoriser un message inter-chaînes. LayerZero a déclaré avoir recommandé l'utilisation de plusieurs vérificateurs indépendants et soutenu qu'une configuration multi-DVN aurait empêché qu'un seul chemin de vérification compromis ne libère des fonds.

Kelp conteste cette version. Sa réclamation civile affirme que LayerZero a examiné et validé le déploiement et la configuration avant l'exploit, plaçant au cœur du dossier la question de ce que LayerZero a approuvé et des avertissements de sécurité qu'il a fournis. Pellegrino a qualifié la réclamation de infondée et a déclaré avoir l'intention de se défendre dans cette affaire à Vancouver.

Le groupe TraderTraitor lié à la RPDC attribué à l'attaque

L'enquête finale de LayerZero indique que Mandiant, CrowdStrike et des chercheurs en sécurité indépendants ont attribué l'intrusion à TraderTraitor, également suivi sous le nom d'UNC4899, un acteur de menace lié à la Corée du Nord.

Chainalysis a décrit séparément l'incident comme une attaque contre l'infrastructure de vérification hors chaîne plutôt qu'une vulnérabilité du contrat de jeton rsETH lui-même. Son enquête a révélé que l'infrastructure RPC exploitée par LayerZero qui alimentait le vérificateur avait été manipulée avant que le message falsifié ne soit accepté. Cette distinction sous-tend désormais le différend juridique, puisque la réclamation de Kelp allègue que les défendeurs n'ont pas empêché la compromission précisément de cette infrastructure de vérification hors chaîne.

Kelp a ensuite migré rsETH vers le Cross-Chain Interoperability Protocol (CCIP) de Chainlink dans le cadre d'une réévaluation plus large de son architecture sécurité inter-chaînes.

L'affaire civile de Colombie-Britannique soumet désormais au tribunal les versions divergentes des parties concernant la configuration du pont, les divulgations de sécurité de LayerZero et la responsabilité de l'infrastructure de vérification compromise.