LayerZero Digugat US$292 Juta saat Migrasi ke CCIP Chainlink Tembus US$15 Miliar

Evercrest Technologies menggugat LayerZero Labs, afiliasi Kanadanya, serta CEO Bryan Pellegrino di British Columbia terkait eksploit rsETH senilai US$292 juta pada April. Gugatan itu menuding adanya misrepresentasi karena kelalaian, kelalaian, dan pencemaran nama baik, serta menuntut ganti rugi yang diperberat dan punitif. Sejak insiden tersebut, pengguna Kelp telah menarik lebih dari US$650 juta. Pellegrino menyebut gugatan itu tidak berdasar. Di sisi lain, hingga 4 Agustus, proyek-proyek yang terkait dengan sekitar US$14,5 miliar aset mengumumkan rencana beralih dari LayerZero ke Cross-Chain Interoperability Protocol (CCIP) milik Chainlink. BitGo menyumbang sekitar US$7,4 miliar dari total itu melalui WBTC, sekaligus menunjuk CCIP sebagai penyedia lintas-rantai eksklusif untuk WBTC. Insiden pada 18 April terjadi ketika penyerang mengecoh "verifier" LayerZero agar menyetujui transfer lintas-rantai palsu. Laporan insiden LayerZero menelusuri intrusi ke seorang pengembang yang menjadi korban rekayasa sosial dan pada Maret menyalin repositori GitHub berbahaya. Pelaku kemudian masuk ke lingkungan RPC LayerZero, meracuni dua node internal, serta membuat satu penyedia RPC eksternal tidak berfungsi. Setelah itu, verifier menandatangani pesan yang dibangun dari data sourcechain palsu. Serangan tersebut membuat 116.500 rsETH keluar dari jembatan Kelp. Jembatan Kelp saat itu mensyaratkan persetujuan dari satu verifier LayerZero. Pemeriksaan tanda tangan on-chain LayerZero berjalan sesuai desain karena tanda tangannya valid, tetapi tanda tangan itu mengafirmasi informasi yang keliru. Dalam laporannya, LayerZero menyatakan persyaratan penggunaan verifier merupakan keputusan aplikasi, sedangkan lapisan RPC yang dikompromikan menjadi tanggung jawab LayerZero sebagai operator. Evercrest menuduh LayerZero telah meninjau dan menyetujui skema single-verifier tersebut secara tertulis. Evercrest juga menyatakan LayerZero pada Februari 2024 mengatakan konfigurasi default tidak bermasalah. Gugatan itu turut menuding LayerZero pernah memperingatkan USDT0 mengenai risiko konfigurasi verifier default, tetapi tidak memberikan peringatan yang sebanding kepada Kelp. Tuduhan tersebut belum diuji di pengadilan. LayerZero menyatakan Kelp sebelumnya memakai konfigurasi two-of-two, lalu beralih ke one-of-one. Kini verifier LayerZero menolak menandatangani pada kanal mana pun jika ia menjadi satu-satunya penanda tangan yang diwajibkan. Perusahaan juga mensyaratkan beberapa sumber RPC yang independen lintas penyedia dan wilayah. Hingga 4 Agustus, LayerZero menyebut jalur default pada kedua versi endpoint-nya telah ditingkatkan menjadi minimal tiga verifier, meski aplikasi masih dapat membangun skema kustom di tingkat protokol. Pada Mei, LayerZero mengatakan mengizinkan verifier-nya bertindak sendirian untuk transfer bernilai tinggi merupakan sebuah kekeliruan. LayerZero menyebut insiden itu berdampak pada sekitar 0,14% aplikasi di jaringannya. Mantle, rsETH milik Kelp, dan Lombard turut menambah miliaran dolar pada total migrasi yang dilaporkan Chainlink mendekati US$15 miliar. Kelp menyatakan migrasinya sendiri masih berlangsung, sehingga nilai yang diumumkan dan transfer yang sudah selesai merupakan metrik yang berbeda. Pada Agustus, Stable Token Commission negara bagian Wyoming memindahkan token terbitan negara bagian FRNT dari LayerZero. Komisi tersebut menandatangani perjanjian multi-tahun yang menetapkan CCIP sebagai penyedia lintas-rantai eksklusif. CISO komisi, Keith Lawhorn, pada 14 September mengatakan peninjauan dimulai akibat serangan terhadap Kelp. Ia menyebut kajian menemukan masalah pada kontrol akses, pengelolaan private key, dan pengungkapan insiden. LayerZero membantah sebagian temuan tersebut. LayerZero saat ini tetap beroperasi sebagai jaringan yang mencakup 96 chain. DefiLlama melaporkan volume bridging LayerZero sebesar US$9,5 miliar dalam 30 hari terakhir. Pengadilan di British Columbia akan menentukan pihak mana yang berkewajiban menyediakan pengamanan yang terkait dengan integrasi tersebut.