LayerZero, zijn Canadese vestiging en CEO Bryan Pellegrino werden donderdag aangeduid als beklaagden in een claim wegens nalatigheid en smaad die is ingediend bij het hoogste tritime gerechtshof van British Columbia. Evercrest Technologies, de ontwikkelaar achter KelpDAO, koppelt de zaak aan de roof op 18 april van 116.500 rsETH, Kelps liquid restaking token, dat op dat moment ongeveer $292 miljoen waard was.

De claim, ingediend bij het registersysteem van Vancouver, voegt wederrechtelijke misleiding toe aan de gegronde punten en vordert naast gewone ook verergerde en bestraffende schadevergoeding. De volledige procedure is hier in te zien. Geen van de beschuldigingen is tot nu toe in de rechtbank getoetst.

Evercrest stelt nooit gewaarschuwd te zijn over verifier-risico's

LayerZeros eigen verifier was de enige die moest goedkeuren voordat rsETH die op de ene keten was vergrendeld op een andere kon worden gemint. Kelps bridge gebruikte een 1-of-1 gedecentraliseerd verifiernetwerk, of DVN. De exploit was volgens de indiening van Evercrest "een falen van LayerZeros eigen beveiligingsinfrastructuur."

Evercrest beweert dat LayerZero op 2 februari 2024 meldde dat de standaardinstelling "geen probleem" vormde. De claim stelt dat LayerZero Evercrest op 21 maart 2024 opdroeg de 1-of-1-opzet van een andere bridge te kopiëren. LayerZools voorstel, gedateerd jan. 2025 in de indiening, was een redundand en gemonitord verifiernetwerk, waarin een gecompromitteerde verifier hooguit "een bericht onjuist kon verifiëren."

USDT0 kreeg een andere boodschap, zo stelt de claim. Evercrest zegt dat Kelp nooit een waarschuwing ontving, terwijl LayerZero de USDT0-ontwikkelaar eind 2024 of begin 2025 waarschuwde over de risico's van standaardifieropzetten, waarna die ontwikkelaar zijn eigen verifier ging draaien. Dat vermeende verschil in waarschuwingen vormt de kern van het punt wegens wederrechtelijke misleiding.

Opnames na de exploit van 18 april boven de $650 miljoen

De claim plaatst de inbreking binnen LayerZero. Volgens Evercrest was het toegangspunt van de aanvaller de computer van één LayerZero-ontwikkelaar, gecompromitteerd via social engineering en malware, en werd de rsETH-transactie op 18 april rond 17:35 UTC verstuurd.

De indiening stelt dat Kelp na de aanval zijn geplande sbUSD-stablecoin heeft stopgezet en rsETH verplaatst naar een andere cross-chain beveiligingsstandaard. Kelp koos in mei voor Chainlinks CCIP, zoals Cryptopolitan meldde. Volgens Evercrest zijn de opnames bij KelpDAO sinds april boven de $650 miljoen uitgekomen.

Het punt van smaad heeft betrekking op LayerZools reactie op de hack. Het post-mortemrapport van het bedrijf stelde dat Kelps opzet "rechtstreeks ingaat tegen" het multi-DVN-model dat LayerZero voorstaat. Evercrest verwerkt die uitspraak, samen met Pellegrinos publieke blaam, in zijn zaak.

Pellegrino zei in mei dat Kelps verhaal "volledig onwaar" was en dat Kelp was gelanceerd op LayerZools multi-DVN-standaard en zelf naar 1-of-1 was overgestapt, meldde Cryptopolitan. Als reactie op de nieuwe indiening op X zei hij dat de claim "onge grond blijft" en dat hij zich zal verdedigen.

Cryptopolitan meldde dat ten tijde van de exploit 47% van de actieve LayerZero-appcontracten draaide op 1-of-1-opzetten — een configuratie die LayerZero sindsdien heeft verboden. De rechtszaak doorloopt vervolgens het gerechtelijke traject in British Columbia, waar LayerZero en Pellegrino de mogelijkheid hebben een formeel verweer in te dienen.

Bron: Cryptopolitan