LayerZero affronta una causa da 292 milioni di dollari mentre quasi 15 miliardi si spostano altrove

Evercrest Technologies ha citato in giudizio LayerZero Labs, la sua affiliata canadese e l'amministratore delegato Bryan Pellegrino nella Columbia Britannica per l'exploit da 292 milioni di dollari che ha coinvolto rsETH ad aprile. La domanda sostiene che vi siano state dichiarazioni negligenti e fuorvianti, negligenza e diffamazione. Chiede danni aggravati e punitivi. Gli utenti di Kelp hanno ritirato oltre 650 milioni di dollari dall'attacco. Pellegrino ha definito la causa priva di fondamento. Progetti legati ad asset per circa 14,5 miliardi di dollari avevano annunciato il passaggio da LayerZero al CCIP di Chainlink entro il 4 agosto. BitGo rappresentava circa 7,4 miliardi di dollari di quel totale attraverso WBTC. BitGo ha indicato il CCIP come proprio fornitore esclusivo di trasferimenti tra blockchain per WBTC. Il 18 aprile, gli aggressori hanno indotto con l'inganno il verificatore di LayerZero ad approvare un trasferimento contraffatto tra blockchain. Il rapporto sull'incidente di LayerZero ha ricondotto l'intrusione a uno sviluppatore manipolato con tecniche di ingegneria sociale affinché copiasse un archivio GitHub malevolo a marzo. Gli aggressori hanno raggiunto l'ambiente RPC di LayerZero. Hanno compromesso due nodi interni. Hanno messo fuori linea un fornitore RPC esterno. Il verificatore ha quindi firmato un messaggio costruito su dati falsi della catena di origine. L'attacco ha causato l'uscita di 116.500 rsETH dal bridge di Kelp. Il bridge di Kelp richiedeva l'approvazione dell'unico verificatore di LayerZero. Il controllo della firma sulla blockchain di LayerZero ha funzionato come previsto, perché la firma era valida. La firma attestava informazioni false. Il rapporto di LayerZero ha attribuito all'applicazione il requisito relativo al verificatore. Il rapporto ha attribuito a LayerZero, in quanto operatore, il livello RPC compromesso. Evercrest sostiene che LayerZero abbia esaminato e approvato per iscritto la configurazione con un solo verificatore. Evercrest afferma che nel febbraio 2024 LayerZero disse a Kelp che una configurazione predefinita non presentava problemi. La causa sostiene inoltre che LayerZero avvertì USDT0 dei rischi nelle configurazioni predefinite dei verificatori. Sostiene che LayerZero non abbia dato a Kelp un avvertimento analogo. Le accuse non sono state esaminate in tribunale. LayerZero afferma che Kelp aveva utilizzato in precedenza una configurazione due su due. LayerZero afferma che Kelp è passato a una configurazione uno su uno. Il verificatore di LayerZero ora rifiuta di firmare su qualsiasi canale in cui sia l'unico firmatario richiesto. La società richiede più fonti RPC indipendenti distribuite tra diversi fornitori e aree geografiche. Entro il 4 agosto, LayerZero aveva portato i percorsi predefiniti su entrambe le versioni del proprio punto di accesso a un minimo di tre verificatori. Le applicazioni possono ancora creare configurazioni personalizzate a livello di protocollo. A maggio LayerZero ha detto che consentire al proprio verificatore di operare da solo su trasferimenti di elevato valore era stato un errore. LayerZero ha detto che l'incidente aveva interessato circa lo 0,14% delle applicazioni sulla propria rete. Mantle, l'rsETH di Kelp e Lombard hanno aggiunto miliardi di dollari al totale della migrazione. Chainlink ha portato il totale vicino ai 15 miliardi di dollari. Kelp ha detto che la propria migrazione era ancora in corso, quindi il valore annunciato e i trasferimenti completati erano misure distinte. La Commissione per i token stabili del Wyoming ha spostato ad agosto il proprio token FRNT emesso dallo Stato fuori da LayerZero. La commissione ha firmato un accordo pluriennale che ha reso il CCIP il proprio fornitore esclusivo di trasferimenti tra blockchain. Il responsabile della sicurezza informatica della commissione, Keith Lawhorn, ha detto il 14 settembre che la revisione era iniziata a causa dell'attacco a Kelp. Ha detto che la revisione aveva rilevato problemi nei controlli degli accessi, nella gestione delle chiavi private e nelle comunicazioni sugli incidenti. LayerZero ha contestato in parte tali conclusioni. LayerZero resta una rete che si estende su 96 blockchain. DefiLlama ha riportato per LayerZero un volume trasferito attraverso bridge di 9,5 miliardi di dollari negli ultimi 30 giorni. Un tribunale della Columbia Britannica stabilirà quale delle parti fosse tenuta a fornire le misure di sicurezza coinvolte nell'integrazione.