LayerZero menghadapi gugatan senilai 292 juta dolar AS saat hampir 15 miliar dolar AS berpindah

Evercrest Technologies menggugat LayerZero Labs, afiliasinya di Kanada, dan CEO Bryan Pellegrino di British Columbia terkait eksploitasi rsETH senilai 292 juta dolar AS pada April. Gugatan itu menuduhkan penyampaian informasi yang menyesatkan karena kelalaian, kelalaian, dan pencemaran nama baik. Gugatan tersebut menuntut ganti rugi tambahan dan punitif. Pengguna Kelp telah menarik lebih dari 650 juta dolar AS sejak serangan itu. Pellegrino menyebut gugatan tersebut tidak berdasar. Proyek-proyek yang terkait dengan aset sekitar 14,5 miliar dolar AS telah mengumumkan perpindahan dari LayerZero ke CCIP milik Chainlink hingga 4 Agustus. BitGo menyumbang sekitar 7,4 miliar dolar AS dari total tersebut melalui WBTC. BitGo menunjuk CCIP sebagai penyedia lintas rantai eksklusif untuk WBTC. Pada 18 April, penyerang menipu verifikator LayerZero agar menyetujui transfer lintas rantai palsu. Laporan insiden LayerZero menelusuri penyusupan itu ke seorang pengembang yang melalui rekayasa sosial dibujuk untuk mengkloning repositori GitHub berbahaya pada Maret. Para penyerang mencapai lingkungan RPC LayerZero. Mereka meracuni dua simpul internal. Mereka membuat penyedia RPC eksternal tidak beroperasi. Verifikator kemudian menandatangani pesan yang dibangun berdasarkan data rantai sumber yang palsu. Serangan itu menyebabkan 116.500 rsETH keluar dari jembatan Kelp. Jembatan Kelp memerlukan persetujuan dari verifikator tunggal LayerZero. Pemeriksaan tanda tangan di rantai milik LayerZero bekerja sesuai rancangan karena tanda tangan tersebut valid. Tanda tangan itu mengesahkan informasi yang palsu. Laporan LayerZero menyatakan bahwa persyaratan verifikator merupakan tanggung jawab aplikasi. Laporan tersebut menyatakan bahwa lapisan RPC yang disusupi merupakan tanggung jawab LayerZero sebagai operatornya. Evercrest mengeklaim bahwa LayerZero telah meninjau dan menyetujui pengaturan verifikator tunggal itu secara tertulis. Evercrest mengatakan LayerZero memberi tahu Kelp pada Februari 2024 bahwa konfigurasi bawaan tidak bermasalah. Gugatan itu juga menuduhkan bahwa LayerZero memperingatkan USDT0 mengenai risiko dalam konfigurasi verifikator bawaan. Gugatan tersebut menuduhkan bahwa LayerZero tidak memberikan peringatan yang sebanding kepada Kelp. Tuduhan-tuduhan itu belum diuji di pengadilan. LayerZero mengatakan Kelp sebelumnya menggunakan konfigurasi dua-dari-dua. LayerZero mengatakan Kelp beralih ke konfigurasi satu-dari-satu. Verifikator LayerZero kini menolak menandatangani di saluran mana pun ketika verifikator tersebut menjadi satu-satunya penanda tangan yang diwajibkan. Perusahaan itu mewajibkan beberapa sumber RPC independen di berbagai penyedia dan wilayah geografis. Hingga 4 Agustus, LayerZero telah memindahkan jalur bawaan pada kedua versi titik akhirnya ke minimal tiga verifikator. Aplikasi masih dapat membangun pengaturan khusus di tingkat protokol. LayerZero mengatakan pada Mei bahwa membiarkan verifikatornya bertindak sendiri dalam transfer bernilai tinggi merupakan kesalahan. LayerZero mengatakan insiden tersebut memengaruhi sekitar 0,14% aplikasi di jaringannya. Mantle, rsETH milik Kelp, dan Lombard menambahkan miliaran dolar AS ke total migrasi. Chainlink menempatkan total tersebut mendekati 15 miliar dolar AS. Kelp mengatakan migrasinya sendiri masih berlangsung, sehingga nilai yang diumumkan dan transfer yang telah selesai merupakan ukuran yang terpisah. Komisi Token Stabil Wyoming memindahkan token FRNT yang diterbitkan negara bagian dari LayerZero pada Agustus. Komisi tersebut menandatangani kesepakatan multi-tahun yang menjadikan CCIP sebagai penyedia lintas rantai eksklusifnya. CISO komisi, Keith Lawhorn, mengatakan pada 14 September bahwa peninjauan itu dimulai karena serangan terhadap Kelp. Ia mengatakan peninjauan tersebut menemukan masalah pada kontrol akses, pengelolaan kunci privat, dan pengungkapan insiden. LayerZero sebagian membantah temuan tersebut. LayerZero tetap menjadi jaringan yang mencakup 96 rantai. DefiLlama melaporkan volume yang dijembatani sebesar 9,5 miliar dolar AS untuk LayerZero selama 30 hari terakhir. Pengadilan di British Columbia akan memutuskan pihak mana yang berkewajiban menyediakan perlindungan dalam integrasi tersebut.