KelpDAO stämmer LayerZero och Bryan Pellegrino
KelpDAO har stämt LayerZero och medgrundaren Bryan Pellegrino i British Columbia angående en exploatering som inträffade den 18 april, där 116 500 rsETH, värt cirka 292 miljoner dollar, stals. Den 24 september meddelade KelpDAO att Evercrest Technologies Inc., den juridiska enheten bakom Kelp, har lämnat in stämningen för att hantera vad de beskriver som brister i LayerZeros infrastruktur.
Stämningen och anklagelserna
KelpDAO:s nuvarande villkor identifierar Evercrest Technologies Inc. som företaget som tillhandahåller Kelp-applikationen. I stämningen anges att
”Idag lämnade vi in en stämning mot LayerZero och dess medgrundare, Bryan Pellegrino, för att rätta till de felaktigheter som är kopplade till exploateringen av rsETH:s LayerZero-brygga tidigare i år.”
Klagomålet, enligt KelpDAO:s offentliga redogörelse, hävdar att LayerZero misslyckades med att avslöja svagheter och risker i sin teknik och inte lyckades stoppa angripare från att tränga in i säkerhetsinfrastrukturen som användes av dess verifierare. Ingen domstol har ännu avgjort om dessa anklagelser. Pellegrino har bestridit fallet och kallat påståendena ”utan grund”, och han avser att försvara sig själv och LayerZero i Vancouver.
Tvisten om rsETH-bryggan
Aktuell rapportering bekräftar att det civila kravet namnger både LayerZero och Pellegrino personligen. KelpDAO:s fall kretsar delvis kring konfigurationen av rsETH-bryggan. Protokollet hävdar att LayerZero hade granskat och godkänt distributionen och konfigurationen skriftligt innan exploateringen i april, vilket motsäger LayerZeros senare argument att Kelp skapade en farlig en-verifierare-konfiguration.
LayerZero har gett en annan redogörelse. I sitt uttalande om incidenten i april sa företaget att Kelp använde ett 1-av-1 Decentralized Verifier Network (DVN), vilket lämnade ingen separat verifierare kapabel att avvisa ett falskt cross-chain-meddelande. LayerZero påstod att de tidigare hade rekommenderat verifierardiversifiering och beskrev konfigurationen som en enskild punkt av fel.
Incidentens detaljer och konsekvenser
Kelp motsatte sig detta dagar efter attacken. Som crypto.news rapporterade i sin bevakning av tvisten om LayerZeros standardkonfiguration, hävdade Kelp att deras brygga följde LayerZeros dokumenterade standarder och förlitade sig på LayerZero-opererad infrastruktur. LayerZero hävdade att Kelp manuellt hade flyttat till 1-av-1-konfigurationen.
Pellegrino sa senare att Kelp ursprungligen använde multi-DVN eller DeadDVN-standarder innan de ändrade rsETH-distributionen. Kelp har bestridit LayerZeros beskrivning av diskussionerna och säger nu att deras stämning kommer att förlita sig på skriftliga dokument som visar att LayerZero granskade uppsättningen.
Parterna är oense om ansvar, men LayerZeros slutliga incidentrapport bekräftar att angripare trängde in i infrastruktur som drevs av LayerZero Labs innan rsETH-bryggan släppte medlen. LayerZero publicerade sin detaljerade rapport i maj och sa att intrånget började den 6 mars när en angripare socialt manipulerade en LayerZero-utvecklare och fick sessionens autentiseringsuppgifter.
Återställning och framtida åtgärder
Angriparen gick sedan in i LayerZeros RPC-molnmiljö och ändrade interna RPC-noder som användes av LayerZero Labs DVN. Under attacken den 18 april tillhandahöll de komprometterade noderna falsk blockchain-information medan angriparna lanserade en denial-of-service-attack mot externa RPC-leverantörer. LayerZeros DVN signerade sedan ett förfalskat meddelande eftersom dess tillgängliga information indikerade att meddelandet var giltigt.
Kelps Ethereum-brygga släppte därefter 116 500 rsETH, trots att ingen motsvarande bränning hade inträffat på källkedjan. Chainalysis beskrev händelsen som en attack på off-chain verifieringsinfrastruktur, inte en sårbarhet i smarta kontrakt i Kelps rsETH-tokenkontrakt.
Det civila fallet går nu in i British Columbias domstolsprocess. Enligt provinsens Supreme Court Civil Rules har en svarande vanligtvis 21 dagar på sig att svara efter delgivning i Kanada, 35 dagar efter delgivning i USA, eller 49 dagar när de delges någon annanstans, om inte domstolen föreskriver en annan tidsfrist. Pellegrino har offentligt sagt att han avser att bestrida åtgärden i Vancouver.
