Perusahaan di balik KelpDAO menggugat LayerZero dan chief executive-nya atas eksploit yang menguras $292 juta dari protokol restaking itu pada April, dengan tuduhan bahwa LayerZero secara tertulis menyetujui konfigurasi bridge yang sama persis yang kemudian mereka salahkan sebagai penyebab kerugian tersebut.

Evercrest Technologies mengajukan pemberitahuan gugatan perdata itu ke Mahkamah Agung British Columbia pada Rabu, dengan mencantumkan LayerZero Labs Ltd., LayerZero Labs Canada Inc., dan salah satu pendiri Bryan Pellegrino, yang digugat secara pribadi atas unggahan di Telegram dan X. Gugatan tersebut memuat tuduhan misrepresentasi lalai, kelalaian, dan pencemaran nama baik, serta menuntut ganti rugi yang diperberat dan ganti rugi punitif.

Bridge milik KelpDAO berjalan dengan setup 1-of-1, yang berarti jaringan verifier milik LayerZero sendiri menjadi satu-satunya pihak yang mengonfirmasi bahwa token telah dikunci di satu chain sebelum token ekuivalennya dicetak di chain lain.

Evercrest mengatakan itulah instruksi dari LayerZero. Menurut dokumen gugatan, pada Februari 2024 LayerZero memberi tahu Evercrest bahwa draf kodenya sudah "good" dan bahwa tidak ada "[m]asalah" menggunakan konfigurasi default, lalu pada Maret 2024 secara eksplisit mengarahkan penggunaan setup 1-of-1 dengan verifier milik LayerZero sendiri. Pada Januari 2025, LayerZero mengatakan bahwa bahkan jika sebuah verifier dikompromikan, dampak paling besar yang bisa terjadi hanyalah kegagalan memverifikasi pesan dengan benar.

Dokumen itu juga menyebut bahwa LayerZero memperingatkan developer lain, USDT0, mengenai risiko dalam konfigurasi verifier default miliknya pada akhir 2024 atau awal 2025, yang mendorong developer tersebut untuk menjalankan verifier sendiri. Evercrest mengatakan mereka tidak pernah menerima peringatan serupa.

Menurut versi dalam gugatan, eksploit itu bermula dari internal LayerZero. Seorang penyerang menanam malware di komputer developer LayerZero pada 6 Maret, lalu memanipulasi node LayerZero agar memberikan pembacaan palsu kepada verifier-nya. Pada 18 April, penyerang menonaktifkan node pihak ketiga yang juga digunakan verifier tersebut, sehingga verifier menerima informasi bahwa 116.500 rsETH telah dikunci di Unichain padahal tidak ada apa pun yang dikunci. Karena hanya satu verifier yang diperlukan, token pun dicetak tanpa jaminan aset pendukung. Evercrest mengatakan mereka menjeda bridge dalam waktu sekitar satu jam dan berhasil menggagalkan upaya kedua.

Tuduhan pencemaran nama baik berpusat pada apa yang terjadi setelahnya. Pernyataan insiden dari LayerZero menyebut setup verifier tunggal itu bertentangan dengan model multi-DVN yang "secara konsisten direkomendasikan kepada semua partner integrasi," dan Pellegrino menulis bahwa "[t]idak seorang pun seharusnya bergantung pada DVN tunggal." Beberapa hari kemudian, menurut dokumen gugatan, LayerZero mengakui telah "melakukan kesalahan dengan membiarkan DVN [miliknya] bertindak sebagai DVN 1-of-1 untuk transaksi bernilai tinggi."

Evercrest mengklaim kerugian yang mencakup kontribusi 2.000 ETH untuk memulihkan backing rsETH, penarikan lebih dari $650 juta sejak eksploit terjadi, serta penurunan token KERNEL yang memicu peringatan dari regulator dan bursa.

Pellegrino menulis di X bahwa gugatan tersebut "tetap tidak berdasar" dan bahwa ia akan menghadapi Evercrest di Vancouver untuk membela diri. Tak satu pun dari tuduhan itu telah diuji di pengadilan, dan belum ada tanggapan resmi yang diajukan atas gugatan tersebut.