LayerZero enfrenta ação de US$ 292 milhões enquanto quase US$ 15 bilhões migram para fora

A Evercrest Technologies processou a LayerZero Labs, sua afiliada canadense e o CEO Bryan Pellegrino na Colúmbia Britânica por causa do ataque envolvendo US$ 292 milhões em rsETH ocorrido em abril. A ação alega declaração enganosa por negligência, negligência e difamação. O processo busca indenizações agravadas e punitivas. Usuários da Kelp retiraram mais de US$ 650 milhões desde o ataque. Pellegrino classificou a ação como sem mérito. Projetos ligados a cerca de US$ 14,5 bilhões em ativos haviam anunciado migrações da LayerZero para o CCIP da Chainlink até 4 de agosto. A BitGo respondeu por cerca de US$ 7,4 bilhões desse total por meio do WBTC. A BitGo nomeou o CCIP como seu provedor exclusivo de operações entre cadeias para o WBTC. Em 18 de abril, invasores enganaram o verificador da LayerZero para que aprovasse uma transferência forjada entre cadeias. O relatório de incidente da LayerZero rastreou a invasão até um desenvolvedor que foi induzido por engenharia social a clonar um repositório malicioso do GitHub em março. Os invasores chegaram ao ambiente RPC da LayerZero. Eles envenenaram dois nós internos. Eles tiraram do ar um provedor externo de RPC. O verificador então assinou uma mensagem construída com dados falsos da cadeia de origem. O ataque fez com que 116.500 rsETH deixassem a ponte da Kelp. A ponte da Kelp exigia aprovação do verificador único da LayerZero. A verificação da assinatura na cadeia da LayerZero funcionou conforme projetado porque a assinatura era válida. A assinatura atestava informações falsas. O relatório da LayerZero atribuiu à aplicação a exigência do verificador. O relatório atribuiu a camada RPC comprometida à LayerZero, como sua operadora. A Evercrest alega que a LayerZero analisou e aprovou por escrito a configuração com um único verificador. A Evercrest afirma que a LayerZero disse à Kelp, em fevereiro de 2024, que uma configuração padrão não apresentava problemas. A ação também alega que a LayerZero alertou a USDT0 sobre os riscos das configurações padrão de verificadores. Segundo a alegação, a LayerZero não deu à Kelp um alerta comparável. As alegações ainda não foram examinadas em tribunal. A LayerZero afirma que a Kelp havia usado anteriormente uma configuração dois de dois. A LayerZero diz que a Kelp mudou para uma configuração um de um. O verificador da LayerZero agora se recusa a assinar em qualquer canal em que seja o único signatário exigido. A empresa exige múltiplas fontes independentes de RPC entre provedores e geografias. Até 4 de agosto, a LayerZero havia mudado as rotas padrão nas duas versões de seu endpoint para um mínimo de três verificadores. As aplicações ainda podem criar configurações personalizadas no nível do protocolo. A LayerZero disse em maio que permitir que seu verificador atuasse sozinho em transferências de alto valor havia sido um erro. A LayerZero disse que o incidente afetou cerca de 0,14% das aplicações em sua rede. A Mantle, o rsETH da Kelp e a Lombard acrescentaram bilhões de dólares ao total migrado. A Chainlink colocou o total perto de US$ 15 bilhões. A Kelp disse que sua própria migração continuava em andamento, portanto o valor anunciado e as transferências concluídas eram medidas distintas. A Comissão de Tokens Estáveis de Wyoming (Stable Token Commission) retirou em agosto seu token FRNT emitido pelo estado da LayerZero. A comissão assinou um acordo plurianual que tornou o CCIP seu provedor exclusivo de operações entre cadeias. O diretor de segurança da informação da comissão, Keith Lawhorn, disse em 14 de setembro que a análise começou por causa do ataque à Kelp. Ele afirmou que a análise encontrou problemas nos controles de acesso, na gestão de chaves privadas e nas divulgações de incidentes. A LayerZero contestou parcialmente essas conclusões. A LayerZero continua sendo uma rede que abrange 96 cadeias. A DefiLlama informou um volume de US$ 9,5 bilhões em ativos transferidos por pontes da LayerZero nos últimos 30 dias. Um tribunal da Colúmbia Britânica decidirá qual parte tinha o dever de fornecer as salvaguardas envolvidas na integração.