LayerZero afronta una demanda de 292 millones de dólares mientras casi 15.000 millones se trasladan fuera

Evercrest Technologies demandó a LayerZero Labs, a su filial canadiense y a su CEO, Bryan Pellegrino, en Columbia Británica por el ataque de abril a rsETH, de 292 millones de dólares. La demanda alega tergiversación negligente, negligencia y difamación. Reclama daños agravados y punitivos. Los usuarios de Kelp han retirado más de 650 millones de dólares desde el ataque. Pellegrino calificó la demanda de infundada. Proyectos vinculados a activos por aproximadamente 14.500 millones de dólares habían anunciado su traslado de LayerZero a CCIP de Chainlink para el 4 de agosto. BitGo representó aproximadamente 7.400 millones de dólares de ese total mediante WBTC. BitGo designó a CCIP como su proveedor exclusivo entre cadenas para WBTC. El 18 de abril, unos atacantes engañaron al verificador de LayerZero para que aprobara una transferencia falsificada entre cadenas. El informe del incidente de LayerZero atribuyó la intrusión a un desarrollador al que manipularon mediante ingeniería social para que clonara un repositorio malicioso de GitHub en marzo. Los atacantes accedieron al entorno RPC de LayerZero. Envenenaron dos nodos internos. Dejaron fuera de servicio a un proveedor externo de RPC. El verificador firmó entonces un mensaje construido a partir de datos falsos de la cadena de origen. El ataque provocó la salida de 116.500 rsETH del puente de Kelp. El puente de Kelp requería la aprobación del único verificador de LayerZero. La comprobación de la firma en la cadena de LayerZero funcionó según lo previsto porque la firma era válida. La firma certificaba información falsa. El informe de LayerZero atribuyó a la aplicación el requisito relativo al verificador. El informe atribuyó a LayerZero, como operador, la capa RPC comprometida. Evercrest alega que LayerZero revisó y aprobó por escrito la configuración de un único verificador. Evercrest afirma que LayerZero dijo a Kelp en febrero de 2024 que una configuración predeterminada no presentaba problemas. La demanda también alega que LayerZero advirtió a USDT0 sobre los riesgos de las configuraciones predeterminadas de los verificadores. Alega que LayerZero no ofreció una advertencia comparable a Kelp. Las alegaciones no han sido examinadas en los tribunales. LayerZero afirma que Kelp había utilizado anteriormente una configuración de dos de dos. LayerZero afirma que Kelp pasó a una configuración de uno de uno. El verificador de LayerZero ahora se niega a firmar en cualquier canal en el que sea el único firmante requerido. La empresa exige múltiples fuentes independientes de RPC entre distintos proveedores y geografías. Para el 4 de agosto, LayerZero había trasladado las rutas predeterminadas de ambas versiones de su punto de conexión a un mínimo de tres verificadores. Las aplicaciones aún pueden crear configuraciones personalizadas a nivel de protocolo. LayerZero dijo en mayo que permitir que su verificador actuara solo en transferencias de alto valor había sido un error. LayerZero dijo que el incidente afectó a aproximadamente el 0,14 % de las aplicaciones de su red. Mantle, el rsETH de Kelp y Lombard añadieron miles de millones de dólares al total de la migración. Chainlink situó el total cerca de 15.000 millones de dólares. Kelp dijo que su propia migración seguía en curso, por lo que el valor anunciado y las transferencias completadas eran medidas separadas. La Comisión de Tokens Estables de Wyoming trasladó en agosto su token FRNT emitido por el estado fuera de LayerZero. La comisión firmó un acuerdo plurianual que convirtió a CCIP en su proveedor exclusivo entre cadenas. Keith Lawhorn, responsable de seguridad de la información de la comisión, dijo el 14 de septiembre que la revisión comenzó a raíz del ataque a Kelp. Dijo que la revisión detectó problemas con los controles de acceso, la gestión de claves privadas y las divulgaciones sobre el incidente. LayerZero ha cuestionado parcialmente esas conclusiones. LayerZero sigue siendo una red que abarca 96 cadenas. DefiLlama informó de un volumen transferido mediante puentes de 9.500 millones de dólares para LayerZero en los últimos 30 días. Un tribunal de Columbia Británica decidirá qué parte tenía la obligación de aplicar las salvaguardas implicadas en la integración.