رفعت الشركة التي تقف وراء KelpDAO دعوى قضائية ضد LayerZero ورئيسها التنفيذي بشأن الاستغلال الذي استنزف 292 مليون دولار من بروتوكول إعادة الرهن في أبريل، زاعمةً أن LayerZero صادقت خطيًا على إعداد الجسر ذاته الذي عادت لاحقًا لتحمّله مسؤولية الخسارة.

وقدّمت Evercrest Technologies إخطار الدعوى المدنية إلى المحكمة العليا في بريتيش كولومبيا يوم الأربعاء، وسمّت كلًا من LayerZero Labs Ltd. وLayerZero Labs Canada Inc. والشريك المؤسس براين بيليغرينو، الذي يُقاضى بصفته الشخصية بسبب منشورات على تيليغرام وX. وتتضمن الدعوى مزاعم بالتحريف بالإهمال، والإهمال، والتشهير، وتطلب تعويضات مشددة وتعويضات عقابية.

كانت جسور KelpDAO تعمل بإعداد 1 من 1، ما يعني أن شبكة التحقق الخاصة بـ LayerZero كانت الجهة الوحيدة التي تؤكد أن الرموز قد جرى قفلها على سلسلة واحدة قبل سكّ رموز مكافئة على سلسلة أخرى.

وتقول Evercrest إن ذلك كان بتعليمات من LayerZero. فبحسب ملف الدعوى، أخبرتها LayerZero في فبراير 2024 أن مسودة الكود الخاصة بها كانت "جيدة" وأنه "لا توجد مشكلة" في استخدام الإعداد الافتراضي، ثم وجّهتها صراحةً في مارس 2024 لاستخدام إعداد 1 من 1 مع أداة التحقق الخاصة بـ LayerZero. وفي يناير 2025، قالت LayerZero إنه حتى لو جرى اختراق أداة تحقق، فإن أقصى ما يمكن أن تفعله هو الفشل في التحقق من رسالة بشكل صحيح.

ويقول الملف أيضًا إن LayerZero حذّرت مطورًا آخر منفصلًا، هو USDT0، من مخاطر إعدادات التحقق الافتراضية لديها في أواخر 2024 أو أوائل 2025، ما دفع ذلك المطور إلى تشغيل أداة تحقق خاصة به. وتقول Evercrest إنها لم تتلقَّ أي تحذير مماثل.

وبحسب رواية الدعوى، بدأ الاستغلال من داخل LayerZero نفسها. إذ زرع مهاجم برمجية خبيثة على جهاز كمبيوتر أحد مطوري LayerZero في 6 مارس، ثم عبث بعُقد LayerZero بحيث تغذي أداة التحقق الخاصة بها بقراءات زائفة. وفي 18 أبريل، عطّل المهاجم أيضًا عُقد الطرف الثالث التي كانت أداة التحقق تستخدمها، فتم إبلاغها بأن 116,500 rsETH قد جرى قفلها على Unichain بينما لم يحدث ذلك أصلًا. ومع الاكتفاء بأداة تحقق واحدة، جرى سكّ الرموز من دون غطاء. وتقول Evercrest إنها أوقفت الجسور خلال نحو ساعة ومنعت محاولة ثانية.

وتستند مزاعم التشهير إلى ما حدث لاحقًا. إذ قالت LayerZero في بيان الحادث إن إعداد أداة التحقق الواحدة يتعارض مع نموذج DVN المتعدد الذي "أوصت به باستمرار لجميع شركاء التكامل"، وكتب بيليغرينو أن "[لا] ينبغي لأحد الاعتماد على DVN وحيد." وبعد أيام، تقول الدعوى إن LayerZero أقرت بأنها "ارتكبت خطأً بالسماح لـ DVN [الخاصة بها] بالعمل كـ DVN 1 من 1 للمعاملات عالية القيمة."

وتطالب Evercrest بتعويضات تشمل مساهمة قدرها 2,000 ETH لإعادة تغطية rsETH، وأكثر من 650 مليون دولار جرى سحبها منذ الاستغلال، فضلًا عن هبوط رمز KERNEL الذي استدعى تحذيرات من الجهات التنظيمية والمنصات.

وغرد بيليغرينو قائلًا إن الدعوى "لا تزال بلا أي أساس وجيه"، وإنه سيواجه Evercrest في فانكوفر للدفاع عن نفسه. ولم تُختبر أي من هذه المزاعم أمام المحكمة بعد، كما لم يُقدَّم أي رد على الدعوى.