LayerZero面臨2.92億美元訴訟，近150億美元資產轉移

Evercrest Technologies在不列顛哥倫比亞省，就4月涉及2.92億美元的rsETH漏洞，起訴LayerZero Labs、其加拿大關聯公司及執行長Bryan Pellegrino。訴狀指控過失失實陳述、過失及誹謗，並要求加重損害賠償及懲罰性損害賠償。攻擊事件發生後，Kelp用戶已提取超過6.5億美元。Pellegrino稱這起訴訟毫無依據。截至8月4日，與約145億美元資產相關的項目已宣布從LayerZero轉向Chainlink的CCIP。BitGo透過WBTC計入其中約74億美元。BitGo指定CCIP為WBTC唯一的跨鏈服務提供商。4月18日，攻擊者誘騙LayerZero的驗證器批准一筆偽造的跨鏈轉帳。LayerZero的事件報告追溯指出，入侵源於一名開發人員在3月遭社交工程攻擊，因而複製了一個惡意GitHub儲存庫。攻擊者進入LayerZero的RPC環境，毒化兩個內部節點，並使一家外部RPC服務提供商離線。之後，驗證器根據虛假的來源鏈資料建立的訊息進行簽署。這起攻擊導致116,500枚rsETH離開Kelp的橋接器。Kelp的橋接器需要LayerZero單一驗證器的批准。由於簽章有效，LayerZero的鏈上簽章檢查依照設計運作。該簽章證明的是虛假資訊。LayerZero的報告將驗證器要求歸責於應用程式，並將遭入侵的RPC層歸責於作為營運商的LayerZero。Evercrest指稱，LayerZero曾以書面審查並批准單一驗證器的配置。Evercrest表示，LayerZero在2024年2月告知Kelp，預設配置沒有問題。訴訟另指稱，LayerZero曾警告USDT0有關預設驗證器配置的風險，但沒有向Kelp提供類似警告。這些指控尚未經法院審理。LayerZero表示，Kelp此前使用的是2選2配置，之後改為1選1配置。LayerZero的驗證器目前拒絕在任何由其作為唯一必要簽署者的通道上簽署。該公司要求不同提供商及不同地理位置的多個獨立RPC來源。截至8月4日，LayerZero已將其端點兩個版本的預設路徑改為至少3個驗證器。應用程式仍可在協定層級建立自訂配置。LayerZero在5月表示，允許其驗證器在高價值轉帳中單獨行動是個錯誤。LayerZero表示，這起事件影響其網路約0.14%的應用程式。Mantle、Kelp的rsETH及Lombard為遷移總額增加數十億美元。Chainlink將總額估計接近150億美元。Kelp表示自身的遷移仍在進行，因此已宣布的價值與已完成的轉帳是兩項不同的衡量指標。懷俄明州穩定代幣委員會在8月將該州發行的FRNT代幣移出LayerZero。該委員會簽署多年期協議，指定CCIP為唯一的跨鏈服務提供商。委員會資訊安全長Keith Lawhorn在9月14日表示，這項審查是因Kelp攻擊事件而展開。他表示，審查發現存取控制、私鑰管理及事件揭露方面存在問題。LayerZero部分反駁了這些發現。LayerZero仍是一個橫跨96條鏈的網路。DefiLlama報告顯示，過去30天LayerZero的橋接交易量為95億美元。不列顛哥倫比亞省法院將裁定整合涉及的防護措施應由哪一方負責。