La empresa detrás de KelpDAO ha demandado a LayerZero y a su director ejecutivo por el exploit que drenó 292 millones de dólares del protocolo de restaking en abril, alegando que LayerZero avaló por escrito la configuración exacta del bridge a la que después culpó por la pérdida.

Evercrest Technologies presentó el miércoles la notificación de demanda civil ante la Corte Suprema de Columbia Británica, señalando a LayerZero Labs Ltd., LayerZero Labs Canada Inc. y al cofundador Bryan Pellegrino, demandado personalmente por publicaciones en Telegram y X. La demanda alega tergiversación negligente, negligencia y difamación, y solicita daños agravados y punitivos.

Los bridges de KelpDAO operaban con una configuración 1-de-1, lo que significa que la propia red verificadora de LayerZero era la única parte que confirmaba que los tokens habían sido bloqueados en una cadena antes de que se acuñaran tokens equivalentes en otra.

Evercrest dice que esa fue una instrucción de LayerZero. Según la presentación judicial, LayerZero le dijo en febrero de 2024 que su borrador de código estaba “bien” y que no había “[n]ingún problema” en usar la configuración predeterminada, y en marzo de 2024 le indicó explícitamente que utilizara una configuración 1-de-1 con el propio verificador de LayerZero. En enero de 2025, LayerZero dijo que, incluso si un verificador se viera comprometido, lo máximo que podría hacer sería no verificar correctamente un mensaje.

La presentación también dice que LayerZero advirtió a otro desarrollador, USDT0, sobre los riesgos en sus configuraciones predeterminadas de verificador a finales de 2024 o principios de 2025, lo que llevó a ese desarrollador a operar el suyo propio. Evercrest afirma que no recibió ninguna advertencia comparable.

Según la demanda, el exploit comenzó dentro de LayerZero. Un atacante instaló malware en la computadora de un desarrollador de LayerZero el 6 de marzo, y luego manipuló los nodos de LayerZero para que enviaran lecturas falsas a su verificador. El 18 de abril, el atacante desactivó los nodos de terceros que el verificador también utilizaba, de modo que se le indicó que 116,500 rsETH habían sido bloqueados en Unichain cuando no había ocurrido tal cosa. Al requerirse un solo verificador, los tokens fueron acuñados sin respaldo. Evercrest dice que pausó los bridges en aproximadamente una hora y bloqueó un segundo intento.

Las acusaciones de difamación se centran en lo que siguió. El comunicado de LayerZero sobre el incidente dijo que la configuración de verificador único contradecía un modelo multi-DVN que había “recomendado sistemáticamente a todos los socios de integración”, y Pellegrino escribió que “[n]adie debería depender de un único DVN”. Días después, según la demanda, LayerZero admitió que había “cometido un error al permitir que [su] DVN actuara como un DVN 1-de-1 para transacciones de alto valor”.

Evercrest reclama daños que incluyen una contribución de 2,000 ETH para restaurar el respaldo de rsETH, más de 650 millones de dólares retirados desde el exploit y una caída del token KERNEL que provocó advertencias de reguladores y exchanges.

Pellegrino tuiteó que la demanda “sigue careciendo de fundamento” y que se reuniría con Evercrest en Vancouver para defenderse. Ninguna de las alegaciones ha sido puesta a prueba en los tribunales y no se ha presentado ninguna respuesta a la demanda.