Compania din spatele KelpDAO a dat în judecată LayerZero și pe directorul său executiv pentru exploitul care a drenat 292 de milioane de dolari din protocolul de restaking în aprilie, susținând că LayerZero a aprobat în scris exact configurația de bridge pe care ulterior a acuzat-o pentru pierdere.

Evercrest Technologies a depus miercuri notificarea de acțiune civilă la Curtea Supremă din Columbia Britanică, numind LayerZero Labs Ltd., LayerZero Labs Canada Inc. și cofondatorul Bryan Pellegrino, dat în judecată personal pentru postări pe Telegram și X. Cererea invocă declarații false făcute din neglijență, neglijență și defăimare și solicită daune agravante și punitive.

Bridge-urile KelpDAO rulau într-o configurație 1-din-1, ceea ce înseamnă că propria rețea de verificatori a LayerZero era singura parte care confirma că tokenurile fuseseră blocate pe un lanț înainte ca tokenuri echivalente să fie emise pe altul.

Evercrest spune că aceasta a fost instrucțiunea LayerZero. Potrivit dosarului, în februarie 2024 LayerZero i-a spus că proiectul său de cod era „bun” și că nu exista „nicio problemă” în utilizarea configurației implicite, iar în martie 2024 i-a indicat în mod explicit să folosească o configurație 1-din-1 cu propriul verificator al LayerZero. În ianuarie 2025, LayerZero a spus că, chiar dacă un verificator ar fi compromis, cel mult ar putea să nu verifice corect un mesaj.

Dosarul mai spune că LayerZero a avertizat un alt dezvoltator, USDT0, cu privire la riscurile din configurațiile sale implicite de verificare la sfârșitul lui 2024 sau începutul lui 2025, ceea ce l-a determinat pe acel dezvoltator să își opereze propria soluție. Evercrest spune că nu a primit niciun avertisment comparabil.

Exploitul a început în interiorul LayerZero, potrivit versiunii din cerere. Un atacator a instalat malware pe computerul unui dezvoltator LayerZero pe 6 martie, apoi a compromis nodurile LayerZero astfel încât acestea să furnizeze date false verificatorului său. Pe 18 aprilie, atacatorul a dezactivat nodurile terțe folosite de asemenea de verificator, astfel încât acestuia i s-a transmis că 116.500 rsETH fuseseră blocați pe Unichain, când de fapt nu fusese blocat nimic. Cum era necesar un singur verificator, tokenurile au fost emise fără acoperire. Evercrest spune că a pus pe pauză bridge-urile în aproximativ o oră și a blocat o a doua tentativă.

Pretențiile de defăimare se referă la ce a urmat. Declarația LayerZero privind incidentul a spus că configurația cu un singur verificator contrazicea un model multi-DVN pe care îl „recomandase în mod consecvent tuturor partenerilor de integrare”, iar Pellegrino a scris că „[n]imeni nu ar trebui să se bazeze pe un singur DVN”. Câteva zile mai târziu, spune dosarul, LayerZero a admis că „a făcut o greșeală permițând [DVN-ului său] să acționeze ca un DVN 1-din-1 pentru tranzacții de valoare mare”.

Evercrest revendică daune care includ o contribuție de 2.000 ETH pentru restabilirea acoperirii rsETH, peste 650 de milioane de dolari retrași de la exploit încoace și o scădere a tokenului KERNEL care a atras avertismente din partea autorităților de reglementare și a exchange-urilor.

Pellegrino a postat pe X că acțiunea „continuă să fie lipsită de temei” și că se va întâlni cu Evercrest la Vancouver pentru a se apăra. Niciuna dintre acuzații nu a fost testată în instanță și nu a fost depus niciun răspuns la cerere.