LayerZero afronta una demanda de 292 millones de dólares mientras cerca de 15.000 millones migran a CCIP de Chainlink

Evercrest Technologies ha presentado una demanda en la Columbia Británica contra LayerZero Labs, su filial canadiense y su CEO, Bryan Pellegrino, a raíz del exploit de rsETH de abril, valorado en 292 millones de dólares. La reclamación incluye presunta declaración negligente, negligencia y difamación, y solicita daños agravados y punitivos. Tras el ataque, los usuarios de Kelp han retirado más de 650 millones de dólares. Pellegrino calificó la demanda de infundada. Las acusaciones aún no han sido contrastadas en sede judicial. En paralelo, proyectos vinculados a unos 14.500 millones de dólares en activos habían anunciado, hasta el 4 de agosto, su traslado desde LayerZero a CCIP, el protocolo de interoperabilidad de Chainlink. BitGo concentró aproximadamente 7.400 millones de dólares de ese total a través de WBTC y designó CCIP como su proveedor crosschain exclusivo para WBTC. Mantle, rsETH de Kelp y Lombard también aportaron miles de millones al volumen anunciado, y Chainlink situó el total cerca de 15.000 millones. Kelp precisó que su propia migración seguía en curso, por lo que el valor anunciado y las transferencias efectivamente completadas no son métricas equivalentes. Según el informe de incidente de LayerZero, el 18 de abril los atacantes lograron engañar al verificador para que aprobara una transferencia crosschain falsificada. La compañía atribuyó la intrusión a un desarrollador que, tras una campaña de ingeniería social, clonó en marzo un repositorio malicioso en GitHub. Desde ahí, los atacantes accedieron al entorno RPC de LayerZero, comprometieron dos nodos internos y dejaron fuera de servicio a un proveedor externo de RPC. El verificador acabó firmando un mensaje construido con datos falsos de la cadena de origen. El ataque provocó la salida de 116.500 rsETH del puente de Kelp. Ese puente requería la aprobación de un único verificador de LayerZero. La comprobación de firma onchain funcionó conforme al diseño, ya que la firma era válida, pero certificaba información falsa. En su informe, LayerZero sostuvo que el requisito de verificador correspondía a la aplicación, mientras que la capa RPC comprometida era responsabilidad de LayerZero como operador. Evercrest alega que LayerZero revisó y aprobó por escrito el esquema de "verificador único". También afirma que LayerZero comunicó a Kelp en febrero de 2024 que una configuración por defecto no presentaba problemas. La demanda añade que LayerZero habría advertido a USDT0 de riesgos asociados a configuraciones por defecto del verificador, sin trasladar una advertencia comparable a Kelp. LayerZero replica que Kelp había utilizado anteriormente una configuración "dos de dos" y que posteriormente pasó a una "uno de uno". Actualmente, el verificador de LayerZero se niega a firmar en cualquier canal en el que sea el único firmante requerido. La empresa exige múltiples fuentes RPC independientes, distribuidas entre distintos proveedores y geografías. Para el 4 de agosto, LayerZero había ajustado las rutas por defecto en ambas versiones de su endpoint a un mínimo de tres verificadores, si bien las aplicaciones pueden seguir creando configuraciones personalizadas a nivel de protocolo. En mayo, LayerZero admitió que permitir que su verificador actuara en solitario en transferencias de alto valor había sido un error. La compañía indicó que el incidente afectó aproximadamente al 0,14% de las aplicaciones en su red. En agosto, la Stable Token Commission de Wyoming trasladó su token estatal FRNT fuera de LayerZero y firmó un acuerdo plurianual que convierte a CCIP en su proveedor crosschain exclusivo. El CISO de la comisión, Keith Lawhorn, declaró el 14 de septiembre que la revisión se inició por el ataque a Kelp y que detectó problemas en controles de acceso, gestión de claves privadas y divulgación de incidentes. LayerZero ha rebatido parcialmente esas conclusiones. LayerZero sigue siendo una red presente en 96 cadenas. DefiLlama estimó en 9.500 millones de dólares el volumen puenteado en LayerZero durante los últimos 30 días. Un tribunal de la Columbia Británica deberá determinar qué parte debía aportar las salvaguardas asociadas a la integración.