LayerZero столкнулась с иском на 292 млн долларов на фоне ухода почти 15 млрд долларов

Evercrest Technologies подала иск к LayerZero Labs, ее канадской аффилированной компании и генеральному директору Брайану Пеллегрино в Британской Колумбии из-за апрельского эксплойта rsETH на 292 млн долларов. В иске утверждается, что имели место введение в заблуждение по неосторожности, небрежность и диффамация. Истцы требуют компенсацию за отягчающие обстоятельства и штрафные убытки. После атаки пользователи Kelp вывели более 650 млн долларов. Пеллегрино назвал иск необоснованным. К 4 августа проекты, связанные примерно с 14,5 млрд долларов активов, объявили о переходе с LayerZero на CCIP от Chainlink. На BitGo через WBTC пришлось около 7,4 млрд долларов этой суммы. BitGo назвала CCIP своим эксклюзивным межсетевым провайдером для WBTC. 18 апреля злоумышленники обманом заставили верификатор LayerZero одобрить поддельный межсетевой перевод. В отчете LayerZero об инциденте говорится, что проникновение началось с разработчика, которого в марте с помощью социальной инженерии побудили клонировать вредоносный репозиторий GitHub. Злоумышленники получили доступ к среде RPC LayerZero. Они внедрили вредоносные данные в два внутренних узла. Они вывели из строя внешнего провайдера RPC. После этого верификатор подписал сообщение, созданное на основе ложных данных исходной сети. В результате атаки с моста Kelp ушли 116 500 rsETH. Для работы моста Kelp требовалось одобрение единственного верификатора LayerZero. Проверка подписи в блокчейне LayerZero сработала как предусмотрено, поскольку подпись была действительной. Подпись подтверждала ложную информацию. В отчете LayerZero ответственность за требование использовать верификатор возложена на приложение. Ответственность за скомпрометированный уровень RPC в отчете возложена на LayerZero как его оператора. Evercrest утверждает, что LayerZero письменно рассмотрела и одобрила конфигурацию с единственным верификатором. По словам Evercrest, в феврале 2024 года LayerZero сообщила Kelp, что конфигурация по умолчанию не представляла проблемы. В иске также утверждается, что LayerZero предупредила USDT0 о рисках конфигураций верификатора по умолчанию. При этом, как утверждается, LayerZero не направила Kelp аналогичного предупреждения. Эти утверждения судом еще не проверялись. LayerZero заявляет, что ранее Kelp использовала конфигурацию 2 из 2. По словам LayerZero, Kelp перешла на конфигурацию 1 из 1. Теперь верификатор LayerZero отказывается подписывать сообщения в любом канале, где он является единственным обязательным подписантом. Компания требует использовать несколько независимых источников RPC у разных провайдеров и в разных географических регионах. К 4 августа LayerZero перевела стандартные маршруты в обеих версиях своей конечной точки на минимум трех верификаторов. Приложения по-прежнему могут создавать собственные конфигурации на уровне протокола. В мае LayerZero заявила, что разрешить своему верификатору действовать единолично при переводах крупных сумм было ошибкой. По данным LayerZero, инцидент затронул около 0,14 % приложений в ее сети. Mantle, rsETH от Kelp и Lombard добавили к общему объему миграции миллиарды долларов. Chainlink оценила общий объем почти в 15 млрд долларов. Kelp заявила, что ее собственная миграция все еще продолжается, поэтому объявленная стоимость и завершенные переводы были разными показателями. В августе Комиссия штата Вайоминг по стейблкоинам перевела выпущенный штатом токен FRNT с LayerZero. Комиссия заключила многолетнее соглашение, сделав CCIP своим эксклюзивным межсетевым провайдером. Директор по информационной безопасности комиссии Кит Лоухорн заявил 14 сентября, что проверка началась из-за атаки на Kelp. По его словам, проверка выявила проблемы с контролем доступа, управлением закрытыми ключами и раскрытием информации об инцидентах. LayerZero частично оспорила эти выводы. LayerZero остается сетью, охватывающей 96 блокчейнов. По данным DefiLlama, объем переводов через мосты LayerZero за последние 30 дней составил 9,5 млрд долларов. Суд в Британской Колумбии решит, какая сторона несла обязанность обеспечить меры защиты, задействованные в интеграции.