Lo sviluppatore di KelpDAO Evercrest fa causa a LayerZero e al CEO Bryan Pellegrino per l'exploit del bridge rsETH da 292 milioni di dollari
Punti chiave
- •Evercrest Technologies, lo sviluppatore dietro KelpDAO, ha presentato causa il 24 settembre contro LayerZero Labs, la sua entità canadese e il cofounder e CEO Bryan Pellegrino per l'exploit del bridge rsETH che ha causato perdite di circa 292 milioni di dollari.
- •La denuncia attribuisce l'exploit a dati RPC avvelenati, alla macchina di uno sviluppatore LayerZero compromessa a marzo 2026 e a una configurazione DVN 1-of-1, che avrebbe portato a una falsa attestazione del blocco di 116.500 rsETH su Unichain, consentendo il mint non autorizzato su Ethereum.
- •Evercrest afferma di aver rilevato l'attacco entro un'ora, di aver sospeso i propri bridge LayerZero, congelato il wallet dell'attaccante e fermato un secondo tentativo di mint di 40.000 rsETH.
- •Secondo la denuncia, LayerZero aveva esaminato e approvato la configurazione del bridge di KelpDAO e aveva indicato il setup DVN 1-of-1, mentre LayerZero e Pellegrino hanno incolpato la configurazione a verificatore singolo per l'incidente.
- •Evercrest chiede danni che includono una ricapitalizzazione di 2.000 ETH, oltre 650 milioni di dollari di prelievi utente, entrate da commissioni perdute, cali del KERNEL, costi dalla chiusura della vault sbUSD e un prodotto stablecoin rimandato.
Evercrest Technologies, la società di sviluppo dietro KelpDAO, ha presentato una causa contro LayerZero Labs, la sua entità canadese e il cofounder e CEO Bryan Pellegrino per un exploit del bridge rsETH del protocollo che ha causato perdite di circa 292 milioni di dollari, intensificando la disputa su chi sia stato responsabile dell'incidente.
Trattandosi di una querela civile, il deposito di Evercrest presenta la versione dello sviluppatore sull'exploit e sui danni rivendicati; le accuse e le pretese di responsabilità restano soggette al procedimento legale.
In una denuncia pubblicata il 24 settembre, Evercrest sostiene che l'exploit, emerso il 18 aprile, non sia derivato da una vulnerabilità nei contratti di KelpDAO. Lo sviluppatore attribuisce invece l'incidente a una combinazione di dati RPC avvelenati, un dispositivo di sviluppo compromesso e una configurazione DVN 1-of-1 di LayerZero, un allestimento in cui un singolo verificatore designato attesta i messaggi cross-chain.
Kelp ha annunciato la causa su X il 25 settembre:
Today we filed a lawsuit against LayerZero and its co-founder, Bryan Pellegrino, to right the wrongs associated with the exploit of rsETH's LayerZero bridge earlier this year. For more details, please refer to the statement below.
— Kelp (@KelpDAO) September 25, 2026
Fonte: Kelp (@KelpDAO) su X
Secondo la denuncia, un attaccante ha compromesso la macchina di uno sviluppatore di LayerZero il 6 marzo 2026, per poi puntare sull'infrastruttura RPC utilizzata dalla Decentralized Verifier Network (DVN) di LayerZero ad aprile. I dati RPC manipolati avrebbero indotto la DVN di LayerZero a confermare che 116.500 rsETH erano stati bloccati su Unichain, pur non essendosi verificato alcun blocco effettivo.
Con LayerZero che agiva come unico verificatore per il bridge Unichain, quella falsa attestazione avrebbe portato al mint di 292 milioni di dollari in rsETH su Ethereum. Evercrest afferma di aver identificato l'attacco entro un'ora, di aver sospeso i propri bridge LayerZero, congelato il wallet dell'attaccante e fermato un secondo tentativo di mint di 40.000 rsETH.
La querela contesta anche la versione pubblica dell'incidente fornita da LayerZero. Evercrest afferma che LayerZero aveva esaminato e approvato la configurazione del bridge di KelpDAO e aveva istruito la società a utilizzare la propria DVN in un setup 1-of-1. Secondo la denuncia, LayerZero ha successivamente incolpato la configurazione a verificatore singolo di KelpDAO, e Pellegrino ha dichiarato che le applicazioni non dovrebbero fare affidamento su una singola DVN. Evercrest sostiene di aver seguito le istruzioni scritte di LayerZero.
Evercrest chiede danni che coprano una ricapitalizzazione di 2.000 ETH, oltre 650 milioni di dollari di prelievi utente, entrate da commissioni perdute, cali del token KERNEL, la chiusura della vault sbUSD di KelpDAO, un prodotto stablecoin rimandato, costi legali e di migrazione, nonché un danno reputazionale.
