Evercrest Technologies, l'entità legale dietro KelpDAO, ha presentato una causa civile in British Columbia contro LayerZero e il cofondatore Bryan Pellegrino per l'exploit del bridge rsETH del 18 aprile che ha causato perdite di circa 292 milioni di dollari. Il deposito della causa è stato annunciato in un post su X.

Kelp afferma che gli imputati non hanno divulgato adeguatamente i rischi della tecnologia di LayerZero e non hanno impedito agli attaccanti di compromettere l'infrastruttura utilizzata per verificare le transazioni cross-chain. La causa sostiene inoltre che LayerZero abbia esaminato e approvato per iscritto il deployment e la configurazione del bridge di Kelp prima dell'attacco. Queste accuse non sono state ancora giudicate.

L'azione legale fa seguito a mesi di disaccordi su un exploit in cui 116.500 rsETH sono stati rilasciati da un contratto bridge su Ethereum senza una corrispondente burn sulla catena di origine. Nella meccanica dei bridge, la burn è ciò che compensa i token rilasciati uno a uno distruggendo le loro controparti sulla catena di origine; senza di essa, gli rsETH rilasciati su Ethereum non avevano alcuna distruzione compensativa a supporto.

L'infrastruttura di LayerZero è stata compromessa prima del rilascio degli rsETH

Il rapporto finale sull'incidente di LayerZero ha fatto risalire l'intrusione al 6 marzo, quando un attacc ha ottenuto credenziali di sessione attraverso un attacco di ingegneria sociale ai danni di uno sviluppatore di LayerZero. L'attaccante è successivamente entrato nell'ambiente cloud di LayerZero e ha modificato i nodi RPC interni utilizzati dalla Decentralized Verifier Network (DVN) di LayerZero Labs, il livello responsabile dell'attestazione della legittimità dei messaggi cross-chain prima che i bridge agiscano su di essi.

Il 18 aprile, i fornitori RPC esterni, i servizi che trasmettono i dati della blockchain ad applicazioni e verificatori, sono stati colpiti da un attacco denial-of-service, lasciando il verificatore dipendente da nodi interni compromessi che fornivano uno stato blockchain falso. La DVN di LayerZero Labs ha quindi generato un'attestazione valida per un messaggio cross-chain contraffatto, e il bridge Ethereum di Kelp ha rilasciato 116.500 rsETH anche se la corrispondente burn sulla catena di origine non era mai avvenuta.

Un secondo messaggio contraffatto mirato ad altri 40.000 rsETH è stato autenticato ma non è stato eseguito dopo che Kelp ha messo in pausa i contratti interessati. La società di sicurezza Blockaid ha identificato in modo indipendente il percorso di verifica 1-of-1 e ha confermato, in la sua analisi, che non era presente un secondo verificatore in grado di respingere il messaggio falso.

La causa si concentra sulla disputa sulla configurazione DVN 1-of-1

LayerZero ha sempre sostenuto che la configurazione del bridge di Kelp abbia creato il punto singolo di guasto decisivo. Nella sua dichiarazione sull'incidente di aprile, la società ha affermato che rsETH si basava su una configurazione DVN 1-of-1, il che significava che il verificatore di LayerZero Labs da solo poteva autorizzare un messaggio cross-chain. LayerZero ha dichiarato di aver raccomandato l'uso di più verificatori indipendenti e ha sostenuto che una configurazione multi-DVN avrebbe impedito a un singolo percorso di verifica compromesso di rilasciare fondi.

Kelp contesta questa versione. La sua causa civilefferma che LayerZero ha esaminato e approvato il deployment e la configurazione prima dell'exploit, ponendo al centro del processo la questione di cosa abbia approvato LayerZero e quali avvertimenti di sicurezza abbia fornito. Pellegrino ha definito l'accusa infondata e ha dichiarato di intenzione di difendersi nel processo a Vancouver.

L'attacco attribuito a TraderTraitor, collegato alla DPRK

L'indagine finale di LayerZero ha dichiarato che Mandiant, CrowdStrike e ricercatori di sicurezza indipendenti hanno attribuito l'intrusione a TraderTraitor, tracciato anche come UNC4899, un attore di minaccia collegato alla Corea del Nord.

Chainalysis ha descritto separatamente l'incidente come un attacco all'infrastruttura di verifica off-chain piuttosto che una vulnerabilità nel contratto del token rsETH stesso. La sua indagine ha rilevato che l'infrastruttura RPC gestita da LayerZero che alimenta il verificatore era stata manipolata prima che il messaggio contraffatto venisse accettato. Questa distinzione ora sostiene la disputa legale, dato che la causa di Kelp sostiene che gli imputati non hanno impedito la compromissione proprio di quell'infrastruttura di verifica off-chain.

Kelp ha successivamente trasferito rsETH al Cross-Chain Interoperability Protocol (CCIP) di Chainlink nell'ambito di una più ampia rivalutazione della propria architettura di sicurezza cross-chain.

Il processo civile in British Columbia pone ora dinanzi alla corte le versioni contrastanti delle parti sulla configurazione del bridge, sulle divulgazioni di sicurezza di LayerZero e sulla responsabilità per l'infrastruttura di verifica compromessa.