Idinemanda ng kumpanyang nasa likod ng KelpDAO ang LayerZero at ang chief executive nito kaugnay ng exploit na nag-drain ng $292 milyon mula sa restaking protocol noong Abril, at sinasabing mismong inendorso ng LayerZero sa sulat ang eksaktong bridge configuration na kalaunan ay sinisi nito sa pagkawala ng pondo.

Naghain ang Evercrest Technologies ng notice of civil claim sa Supreme Court of British Columbia noong Miyerkules, at pinangalanan ang LayerZero Labs Ltd., LayerZero Labs Canada Inc., at ang co-founder na si Bryan Pellegrino, na personal na idinemanda dahil sa mga post sa Telegram at X. Iginigiit nito ang negligent misrepresentation, negligence, at defamation, at humihingi ng aggravated at punitive damages.

Gumamit ang mga bridge ng KelpDAO ng 1-of-1 setup, ibig sabihin ang sariling verifier network ng LayerZero ang nag-iisang partido na nagkukumpirma na naka-lock ang mga token sa isang chain bago i-mint ang katumbas na mga token sa iba.

Ayon sa Evercrest, ito ay ayon sa instruksyon ng LayerZero. Sinabi umano ng LayerZero dito noong Pebrero 2024 na “good” ang draft code nito at na “[w]alang problema” sa paggamit ng default configuration, ayon sa filing, at noong Marso 2024 ay tahasang inutusan itong gumamit ng 1-of-1 setup gamit ang sariling verifier ng LayerZero. Noong Enero 2025, sinabi ng LayerZero na kahit makompromiso ang isang verifier, ang pinakamasamang magagawa nito ay ang mabigong ma-verify nang tama ang isang mensahe.

Sinasabi rin sa filing na binalaan ng LayerZero ang hiwalay na developer na USDT0 tungkol sa mga panganib sa default verifier configurations nito noong huling bahagi ng 2024 o unang bahagi ng 2025, na nag-udyok dito na patakbuhin ang sarili nitong verifier. Ayon sa Evercrest, wala itong natanggap na katulad na babala.

Sa bersyon ng claim, nagsimula ang exploit sa loob mismo ng LayerZero. Naglagay ang isang attacker ng malware sa computer ng LayerZero developer noong Marso 6, pagkatapos ay pinakialaman ang mga node ng LayerZero upang magpadala ang mga ito ng maling readings sa verifier nito. Noong Abril 18, dinisable ng attacker ang mga third-party node na ginagamit din ng verifier, kaya pinaniwala ito na 116,500 rsETH ang naka-lock sa Unichain kahit wala naman. Dahil isang verifier lang ang kailangan, na-mint ang mga token nang walang backing. Ayon sa Evercrest, na-pause nito ang mga bridge sa loob ng humigit-kumulang isang oras at naharang ang ikalawang tangkang pag-atake.

Umiikot ang mga claim ng defamation sa sumunod na mga pangyayari. Sinabi sa incident statement ng LayerZero na ang single-verifier setup ay salungat sa multi-DVN model na “palagian” umano nitong inirerekomenda sa lahat ng integration partners, at isinulat ni Pellegrino na “[w]alang sinuman ang dapat umasa sa iisang DVN.” Makalipas ang ilang araw, ayon sa filing, inamin ng LayerZero na “nagkamali [ito] sa pagpayag na ang [DVN] nito ay kumilos bilang 1-of-1 DVN para sa high-value transactions.”

Inaangkin ng Evercrest ang danyos kabilang ang 2,000 ETH na kontribusyon para maibalik ang backing ng rsETH, mahigit $650 milyon na na-withdraw mula noong exploit, at ang pagbagsak ng KERNEL token na humatak ng mga babala mula sa regulators at mga exchange.

Nag-tweet si Pellegrino na ang claim ay “patuloy na walang merito” at haharapin niya ang Evercrest sa Vancouver upang ipagtanggol ang kanyang sarili. Wala pang alinman sa mga alegasyon ang nasusubok sa korte, at wala pang naihahaing tugon sa claim.