LayerZero é alvo de processo de US$ 292 milhões enquanto migração para CCIP, da Chainlink, se aproxima de US$ 15 bilhões

A Evercrest Technologies entrou com uma ação na província canadense de British Columbia contra a LayerZero Labs, sua afiliada no Canadá e o CEO Bryan Pellegrino, após o exploit de US$ 292 milhões envolvendo rsETH em abril. A petição aponta suposta falsa declaração negligente, negligência e difamação, e pede indenização agravada e punitiva. Pellegrino classificou o processo como sem mérito. Desde o ataque, usuários da Kelp retiraram mais de US$ 650 milhões. Segundo comunicado da LayerZero, em 18 de abril invasores induziram o verificador da rede a aprovar uma transferência crosschain forjada. O relatório do incidente afirma que a intrusão começou quando um desenvolvedor foi alvo de engenharia social e clonou, em março, um repositório malicioso no GitHub. A partir daí, os atacantes acessaram o ambiente de RPC da LayerZero, contaminaram dois nós internos, derrubaram um provedor externo de RPC e fizeram o verificador assinar uma mensagem baseada em dados falsos da cadeia de origem. O ataque resultou na saída de 116.500 rsETH da ponte da Kelp. A ponte exigia aprovação do verificador único da LayerZero. A checagem de assinatura on-chain funcionou como previsto porque a assinatura era válida, embora atestasse informações falsas. No relatório, a LayerZero atribuiu a exigência do verificador ao aplicativo, e a camada de RPC comprometida à própria LayerZero, na condição de operadora. A Evercrest sustenta que a LayerZero revisou e aprovou por escrito o modelo de verificador único. Alega ainda que, em fevereiro de 2024, a LayerZero teria dito à Kelp que a configuração padrão não apresentava problemas. A ação também afirma que a LayerZero alertou o USDT0 sobre riscos de configurações padrão de verificador, sem fornecer advertência equivalente à Kelp. As alegações ainda não foram analisadas em juízo. A LayerZero afirma que a Kelp havia utilizado anteriormente uma configuração de dois-de-dois e depois migrou para um-de-um. Atualmente, o verificador da LayerZero se recusa a assinar em qualquer canal no qual seja o único signatário exigido. A empresa passou a exigir múltiplas fontes independentes de RPC, distribuídas entre provedores e geografias. Até 4 de agosto, a LayerZero elevou os caminhos padrão nas duas versões do seu endpoint para um mínimo de três verificadores, embora aplicativos ainda possam montar configurações personalizadas no nível do protocolo. Em maio, a LayerZero disse que permitir que seu verificador atuasse sozinho em transferências de alto valor foi um erro e estimou que o incidente atingiu cerca de 0,14% dos aplicativos na rede. Em paralelo, projetos ligados a aproximadamente US$ 14,5 bilhões em ativos haviam anunciado, até 4 de agosto, a migração da LayerZero para o CCIP, da Chainlink. A BitGo respondeu por cerca de US$ 7,4 bilhões desse volume via WBTC e definiu o CCIP como provedor crosschain exclusivo para o token. Mantle, rsETH da Kelp e Lombard acrescentaram bilhões de dólares ao total, que a Chainlink calcula em perto de US$ 15 bilhões. A Kelp afirmou que sua própria migração ainda estava em andamento, e que valores anunciados e transferências concluídas são métricas diferentes. Em agosto, a Stable Token Commission de Wyoming retirou seu token estatal FRNT da LayerZero e assinou um acordo plurianual que torna o CCIP seu provedor crosschain exclusivo. O CISO da comissão, Keith Lawhorn, disse em 14 de setembro que a revisão começou por causa do ataque à Kelp e apontou problemas em controles de acesso, gestão de chaves privadas e divulgação de incidentes. A LayerZero contestou parte dessas conclusões. A LayerZero segue operando uma rede que abrange 96 blockchains. Dados do DefiLlama indicam US$ 9,5 bilhões em volume de ponte nos últimos 30 dias. A Justiça de British Columbia deverá decidir qual parte era responsável pelas salvaguardas envolvidas na integração.