Công ty đứng sau KelpDAO đã kiện LayerZero và giám đốc điều hành của hãng này liên quan đến vụ exploit rút 292 triệu USD khỏi giao thức restaking vào tháng 4, cáo buộc LayerZero đã phê duyệt bằng văn bản chính xác cấu hình bridge mà sau đó họ lại đổ lỗi là nguyên nhân gây ra tổn thất.

Evercrest Technologies đã nộp thông báo khởi kiện dân sự lên Tòa án Tối cao British Columbia vào thứ Tư, nêu tên LayerZero Labs Ltd., LayerZero Labs Canada Inc. và đồng sáng lập Bryan Pellegrino, người bị kiện với tư cách cá nhân vì các bài đăng trên Telegram và X. Đơn kiện cáo buộc hành vi trình bày sai lệch do cẩu thả, sơ suất và phỉ báng, đồng thời yêu cầu bồi thường thiệt hại tăng nặng và mang tính trừng phạt.

Các bridge của KelpDAO vận hành theo cấu hình 1-of-1, nghĩa là mạng xác thực của chính LayerZero là bên duy nhất xác nhận token đã được khóa trên một chain trước khi token tương đương được mint trên chain khác.

Evercrest cho biết đó là chỉ dẫn từ LayerZero. Theo hồ sơ vụ kiện, LayerZero đã nói với công ty này vào tháng 2/2024 rằng bản nháp code của họ là “ổn” và việc dùng cấu hình mặc định là “[k]hông có vấn đề gì”, đồng thời vào tháng 3/2024 còn chỉ đạo rõ ràng rằng họ nên dùng cấu hình 1-of-1 với verifier của chính LayerZero. Đến tháng 1/2025, LayerZero nói rằng ngay cả khi một verifier bị xâm phạm, điều tệ nhất nó có thể làm là xác thực một thông điệp không chính xác.

Hồ sơ vụ kiện cũng cho biết LayerZero đã cảnh báo một nhà phát triển khác là USDT0 về các rủi ro trong cấu hình verifier mặc định của họ vào cuối năm 2024 hoặc đầu năm 2025, khiến nhà phát triển đó phải vận hành verifier riêng. Evercrest nói rằng họ không nhận được bất kỳ cảnh báo tương tự nào.

Theo trình bày trong đơn kiện, vụ exploit bắt đầu từ bên trong LayerZero. Một kẻ tấn công đã cài mã độc lên máy tính của một nhà phát triển LayerZero vào ngày 6/3, sau đó can thiệp vào các node của LayerZero để chúng cung cấp dữ liệu sai cho verifier của hệ thống. Vào ngày 18/4, kẻ tấn công vô hiệu hóa các node bên thứ ba mà verifier này cũng sử dụng, khiến nó “tin” rằng 116.500 rsETH đã được khóa trên Unichain trong khi thực tế không có gì được khóa cả. Vì chỉ yêu cầu một verifier, số token này đã được mint mà không có tài sản bảo chứng. Evercrest cho biết họ đã tạm dừng các bridge trong khoảng một giờ và chặn được một nỗ lực tấn công thứ hai.

Các cáo buộc phỉ báng xoay quanh những gì diễn ra sau đó. Thông báo sự cố của LayerZero cho biết cấu hình một verifier đi ngược với mô hình multi-DVN mà công ty này “đã nhất quán khuyến nghị cho tất cả các đối tác tích hợp”, còn Pellegrino viết rằng “[k]hông ai nên dựa vào DVN đơn lẻ.” Vài ngày sau, theo hồ sơ vụ kiện, LayerZero thừa nhận rằng họ đã “mắc sai lầm khi cho phép DVN [của mình] hoạt động như một DVN 1-of-1 cho các giao dịch giá trị lớn.”

Evercrest yêu cầu bồi thường thiệt hại, bao gồm khoản đóng góp 2.000 ETH để khôi phục tài sản bảo chứng cho rsETH, hơn 650 triệu USD bị rút khỏi giao thức kể từ sau vụ exploit, và đà giảm của token KERNEL vốn đã kéo theo các cảnh báo từ cơ quan quản lý và sàn giao dịch.

Pellegrino đăng trên X rằng đơn kiện này “vẫn hoàn toàn vô căn cứ” và ông sẽ gặp Evercrest tại Vancouver để tự bảo vệ mình. Hiện chưa có cáo buộc nào được kiểm chứng trước tòa, và cũng chưa có bản hồi đáp nào được nộp đối với đơn kiện.