LayerZero столкнулась с иском на $292 млн на фоне миграции активов на $15 млрд в Chainlink CCIP

Evercrest Technologies подала иск против LayerZero Labs, ее канадского аффилированного подразделения и CEO Брайана Пеллегрино (Bryan Pellegrino) в Британской Колумбии из-за апрельского эксплойта rsETH на $292 млн. В заявлении фигурируют обвинения в небрежном введении в заблуждение (negligent misrepresentation), халатности и диффамации; истец добивается взыскания повышенных и штрафных убытков. После атаки пользователи Kelp вывели более $650 млн. Пеллегрино назвал иск необоснованным. На фоне инцидента проекты, связанные примерно с $14,5 млрд активов, к 4 августа объявили о переходе с LayerZero на CCIP от Chainlink. Около $7,4 млрд из этой суммы пришлось на BitGo через WBTC: компания назначила CCIP эксклюзивным кроссчейн-провайдером для WBTC. По данным отчета LayerZero об инциденте, 18 апреля злоумышленники заставили верификатор LayerZero подтвердить поддельный кроссчейн-перевод. Компания связывает проникновение с разработчиком, которого в марте посредством социальной инженерии убедили клонировать вредоносный репозиторий на GitHub. Атакующие получили доступ к RPC-среде LayerZero, "отравили" два внутренних узла и вывели из строя внешнего RPC-провайдера. После этого верификатор подписал сообщение, сформированное на основе подложных данных исходной сети. В результате 116 500 rsETH покинули мост Kelp. Мост Kelp требовал одобрения единственного верификатора LayerZero. Проверка подписи в ончейне сработала штатно, поскольку подпись была действительной, но подтверждала неверную информацию. В отчете LayerZero требование по верификатору отнесено к ответственности приложения, а скомпрометированный RPC-слой — к ответственности LayerZero как оператора. Evercrest утверждает, что LayerZero письменно рассмотрела и одобрила конфигурацию с единственным верификатором. По версии истца, в феврале 2024 года LayerZero сообщила Kelp, что в конфигурации по умолчанию проблем нет. В иске также говорится, что LayerZero предупреждала USDT0 о рисках конфигураций верификатора по умолчанию, но не дала сопоставимого предупреждения Kelp. Эти утверждения судом пока не проверялись. LayerZero заявляет, что ранее Kelp использовала конфигурацию two-of-two, а затем перешла на one-of-one. Сейчас верификатор LayerZero отказывается подписывать транзакции в каналах, где он является единственным обязательным подписантом. Компания также требует несколько независимых источников RPC у разных провайдеров и в разных географиях. К 4 августа LayerZero перевела пути по умолчанию на обеих версиях своего endpoint минимум на три верификатора, при этом приложения по-прежнему могут создавать пользовательские настройки на уровне протокола. В мае LayerZero признала, что допускать работу своего верификатора в одиночку на переводах с высокой стоимостью было ошибкой. По оценке компании, инцидент затронул около 0,14% приложений в сети. Mantle, rsETH от Kelp и Lombard добавили миллиарды долларов к суммарному объему миграции; Chainlink оценила общий показатель почти в $15 млрд. Kelp уточнила, что ее собственная миграция еще продолжается, поэтому объявленная стоимость и фактически завершенные переводы — разные метрики. В августе Wyoming Stable Token Commission перевела свой выпущенный штатом токен FRNT с LayerZero и подписала многолетнее соглашение, закрепив CCIP в качестве эксклюзивного кроссчейн-провайдера. CISO комиссии Кит Лоухорн (Keith Lawhorn) 14 сентября заявил, что проверка началась из-за атаки на Kelp и выявила проблемы с контролем доступа, управлением приватными ключами и раскрытием информации об инцидентах; LayerZero частично оспорила эти выводы. LayerZero продолжает работать как сеть, охватывающая 96 блокчейнов. По данным DefiLlama, объем мостовых операций через LayerZero за последние 30 дней составил $9,5 млрд. Суд в Британской Колумбии должен определить, какая из сторон была обязана обеспечить меры защиты, задействованные при интеграции.