KelpDAO ha presentato una causa contro LayerZero e il suo cofondatore e CEO, Bryan Pellegrino, per un exploit di aprile che ha portato al furto di 116.500 rsETH per un valore di circa 292 milioni di dollari.

L'azione legale porta in tribunale una disputa che in precedenza si era sviluppata attraverso rapporti tecnici e dichiarazioni pubbliche. KelpDAO sostiene che LayerZero non abbia divulgato importanti vulnerabilità e rischi nella propria tecnologia e non abbia messo in sicurezza adeguatamente l'infrastruttura utilizzata dal proprio sistema di verifica. Le accuse non sono state comprovate in tribunale

KelpDAO porta la disputa con LayerZero in tribunale

KelpDAO ha annunciato la causa il 25 settembre, diversi mesi dopo l'exploit di aprile, dichiarando di voler ritenere LayerZero e Pellegrino responsabili delle perdite e dei danni che il protocollo attribuisce all'exploit.

— Kelp (@KelpDAO) September 25, 2026

Il post è stato pubblicato da KelpDAO su X: https://x.com/KelpDAO/status/2103332910128599327?ref_src=twsrc%5Etfw

Pellegrino ha liquidato la causa come infondata e ha dichiarato di intendere contestarla a Vancouver. La disputa si concentra sulle versioni divergenti delle parti su come il bridge sia diventato vulnerabile e su chi fosse responsabile delle condizioni che hanno consentito l'attacco.

L'exploit rsETH da 292 milioni di dollari

Un aggressore ha rubato 116.500 rsETH, che al momento dell'incidente avevano un valore complessivo di circa 292 milioni di dollari. Secondo l'indagine di LayerZero, l'aggressore ha utilizzato dapprima l'ingegneria sociale per ottenere l'accesso tramite uno sviluppatore di LayerZero, prima di infiltrarsi nel sistema di remote procedure call (RPC) dell'azienda.

L'infrastruttura compromessa ha fornito dati blockchain fraudolenti al sistema di verifica di LayerZero. Quei dati hanno consentito a un messaggio cross-chain malformato di ricevere un'attestazione valida. Il messaggio falso ha infine innescato il rilascio di rsETH senza la corrispondente combustione di token sulla catena di origine. In questo tipo di meccanismo di bridge, i rilasci una catena dovrebbero essere compensati da combustioni su un'altra, mantenendo l'offerta dell'asset trasferito allineata tra le catene.

Chainalysis ha accertato che gli aggressori non hanno sfruttato vulnerabilità note nei contratti intelligenti di KelpDAO.

Perché la configurazione 1-of-1 DVN è centrale

LayerZero afferma che il bridge rsETH di KelpDAO era collegato a una Decentralized Verifier Network (DVN) 1-of-1, con LayerZero Labs come unico verificatore, il che significa che una singola attestazione era sufficiente perché un messaggio cross-chain fosse considerato valido. LayerZero ha sostenuto che questa configurazione abbia creato un single point of failure: se il verificatore fosse stato compromesso, nessun verificatore indipendente era disponibile per respingere il messaggio contraffatto.

LayerZero ha anche dichiarato di aver raccomandato l'uso di più DVN per la ridondanza. KelpDAO contesta questa versione, affermando che LayerZero abbia esaminato e approvato per iscritto il deployment e la configurazione del bridge. Tale affermazione è ora parte del contenzioso.

KelpDAO allontana rsETH da LayerZero

Dopo l'exploit, KelpDAO ha spostato la propria attenzione sulla sicurezza cross-chain del proprio sistema. Il protocollo ha avviato il trasferimento del bridge rsETH dall'infrastruttura di LayerZero a Chainlink CCIP, il protocollo di interoperabilità cross-chain di Chainlink.

Anche LayerZero ha risposto all'incidente rimuovendo il supporto alle configurazioni 1-of-1 DVN per le applicazioni compromesse e rafforzando l'infrastruttura legata all'attacco.

La causa sottopone ora a scrutiny giudiziario il disaccordo tecnico. Tra le questioni centrali figurano la responsabilità per l'infrastruttura compromessa, la configurazione del bridge e gli avvisi di sicurezza forniti prima dell'exploit da 292 milioni di dollari. La disputa illustra come i bridge cross-chain dipendano sia dall'infrastruttura di messaggistica sottostante sia dalle configurazioni scelte dalle applicazioni che li utilizzano.

Fonte: CryptoNinjas