LayerZero visé par une action de 292 millions de dollars alors que près de 15 milliards de dollars quittent son réseau

Evercrest Technologies a poursuivi LayerZero Labs, sa filiale canadienne et son directeur général Bryan Pellegrino en Colombie-Britannique au sujet de l'exploit de 292 millions de dollars ayant touché rsETH en avril. La plainte fait état de présentation négligente de faits, de négligence et de diffamation. Elle réclame des dommages-intérêts aggravés et punitifs. Les utilisateurs de Kelp ont retiré plus de 650 millions de dollars depuis l'attaque. Pellegrino a qualifié l'action de dépourvue de fondement. Des projets liés à environ 14,5 milliards de dollars d'actifs avaient annoncé leur transfert de LayerZero vers le CCIP de Chainlink au 4 août. BitGo représentait environ 7,4 milliards de dollars de ce total grâce à WBTC. BitGo a désigné le CCIP comme son fournisseur exclusif de transferts inter-chaînes pour WBTC. Le 18 avril, des attaquants ont trompé le vérificateur de LayerZero afin qu'il approuve un transfert inter-chaînes falsifié. Le rapport d'incident de LayerZero a fait remonter l'intrusion à un développeur manipulé par ingénierie sociale pour cloner un dépôt GitHub malveillant en mars. Les attaquants ont atteint l'environnement RPC de LayerZero. Ils ont compromis deux nœuds internes. Ils ont mis hors ligne un fournisseur RPC externe. Le vérificateur a ensuite signé un message construit à partir de fausses données de la chaîne source. L'attaque a entraîné la sortie de 116 500 rsETH du pont de Kelp. Le pont de Kelp exigeait l'approbation du vérificateur unique de LayerZero. La vérification de la signature sur la chaîne de LayerZero a fonctionné comme prévu, car la signature était valide. La signature attestait de fausses informations. Le rapport de LayerZero a attribué à l'application l'exigence relative au vérificateur. Le rapport a attribué à LayerZero, en tant qu'opérateur, la responsabilité de la couche RPC compromise. Evercrest affirme que LayerZero a examiné et approuvé par écrit la configuration à vérificateur unique. Evercrest affirme que LayerZero a indiqué à Kelp en février 2024 qu'une configuration par défaut ne posait aucun problème. La plainte affirme également que LayerZero a averti USDT0 des risques liés aux configurations de vérificateurs par défaut. Elle affirme que LayerZero n'a pas adressé d'avertissement comparable à Kelp. Ces allégations n'ont pas été examinées par un tribunal. LayerZero affirme que Kelp utilisait auparavant une configuration deux sur deux. LayerZero affirme que Kelp est passé à une configuration un sur un. Le vérificateur de LayerZero refuse désormais de signer sur tout canal où il est le seul signataire requis. L'entreprise exige plusieurs sources RPC indépendantes, auprès de plusieurs fournisseurs et dans plusieurs zones géographiques. Au 4 août, LayerZero avait fait passer les chemins par défaut des deux versions de son point de terminaison à un minimum de trois vérificateurs. Les applications peuvent toujours créer des configurations personnalisées au niveau du protocole. LayerZero a déclaré en mai qu'avoir permis à son vérificateur d'agir seul lors de transferts de grande valeur avait été une erreur. LayerZero a déclaré que l'incident avait affecté environ 0,14 % des applications de son réseau. Mantle, le rsETH de Kelp et Lombard ont ajouté plusieurs milliards de dollars au total migré. Chainlink a évalué le total à près de 15 milliards de dollars. Kelp a indiqué que sa propre migration était toujours en cours ; la valeur annoncée et les transferts réalisés constituaient donc deux mesures distinctes. La Commission des stablecoins du Wyoming a retiré en août son jeton FRNT émis par l'État de LayerZero. La commission a signé un accord pluriannuel faisant du CCIP son fournisseur exclusif de transferts inter-chaînes. Le responsable de la sécurité des systèmes d'information de la commission, Keith Lawhorn, a déclaré le 14 septembre que l'examen avait commencé en raison de l'attaque contre Kelp. Il a déclaré que l'examen avait relevé des problèmes concernant les contrôles d'accès, la gestion des clés privées et les informations communiquées sur les incidents. LayerZero a partiellement contesté ces conclusions. LayerZero reste un réseau couvrant 96 chaînes. DefiLlama a fait état d'un volume transféré via des ponts de 9,5 milliards de dollars pour LayerZero au cours des 30 derniers jours. Un tribunal de Colombie-Britannique décidera quelle partie était responsable des mesures de protection liées à l'intégration.