KelpDAO processa LayerZero e CEO por exploit de US$ 292 milhões na ponte rsETH

A KelpDAO abriu um processo judicial contra o protocolo cross-chain LayerZero e seu CEO, Bryan Pellegrino, por causa do exploit de aproximadamente US$ 292 milhões sofrido pela ponte rsETH no início deste ano. A ação alega que falhas na infraestrutura de segurança da LayerZero contribuíram para o ataque. A informação foi divulgada na sexta-feira pela própria KelpDAO.

Segundo a KelpDAO, a LayerZero não divulgou riscos de sua tecnologia nem impediu que atacantes comprometessem sua infraestrutura. A empresa também afirma que a LayerZero revisou e endossou por escrito a implantação e a configuração da ponte antes do exploit. "Nossa prioridade número um sempre foi e continuará sendo a segurança dos ativos de nossos usuários", declarou a Kelp. "Mas também precisamos corrigir o registro e responsabilizar a LayerZero e o Sr. Pellegrino pelos danos que nos causaram e ao ecossistema DeFi mais amplo."

Pellegrino classificou a alegação como "sem mérito" e disse que vai se defender no caso em Vancouver. O processo intensifica uma disputa que já dura meses sobre se a perda foi causada pelo comprometimento da infraestrutura da LayerZero, pela configuração da ponte da KelpDAO, ou por ambos. A Cointelegraph procurou a LayerZero para comentar, mas não recebeu resposta antes da publicação.

O que aconteceu no ataque de abril?

O ataque de 18 de abril resultou no roubo de 116.500 rsETH, avaliados em cerca de US$ 292 milhões na época, da ponte da Kelp que utilizava a tecnologia LayerZero. Em seu relatório final do incidente, a LayerZero afirmou que os atacantes comprometeram seus nós internos e fizeram com que seu verificador aprovasse uma mensagem cross-chain forjada. A empresa argumentou que a perda foi possível porque a ponte da Kelp dependia de uma única rede descentralizada de verificadores (DVN) da LayerZero como seu único caminho de verificação.

Sem a exigência de um segundo verificador independente, a ponte liberou os rsETH após receber a aprovação do verificador da LayerZero para a mensagem forjada. A LayerZero disse que havia recomendado o uso de múltiplos DVNs e que posteriormente deixou de atuar como verificador único obrigatório para aplicações.

A Kelp contesta a versão da LayerZero sobre a responsabilidade. Em maio, a empresa afirmou que sua configuração de DVN havia sido discutida anteriormente com a LayerZero e "confirmada como segura", ao mesmo tempo em que acusou a LayerZero de não alertá-la adequadamente sobre os riscos. A Kelp anunciou depois planos de migrar a ponte rsETH para o Protocolo de Interoperabilidade Cross-Chain da Chainlink.

Perguntas frequentes

Quanto foi roubado no exploit da ponte rsETH?

Foram roubados 116.500 rsETH, com valor estimado em cerca de US$ 292 milhões na época do ataque, ocorrido em 18 de abril.

Qual é o argumento central da KelpDAO no processo?

A KelpDAO alega que a LayerZero não divulgou riscos de sua tecnologia, não impediu o comprometimento de sua infraestrutura e havia endossado por escrito a configuração da ponte antes do exploit. A LayerZero, por sua vez, sustenta que a perda foi possível porque a ponte da Kelp usava um único DVN como caminho de verificação.