KelpDAO haastaa LayerZeron ja toimitusjohtajan Bryan Pellegrinon oikeuteen 292 miljoonan dollarin rsETH-hakkeroinnin vuoksi

KelpDAO:n ja LayerZeron välinen syyttely lähti juuri X:stä ja käveli Brittiläisen Kolumbian oikeussaliin.

Syyskuun 24. päivänä Evercrest Technologies, KelpDAO-nesteen uudelleenkäsittelyprotokollan takana oleva yritys, nosti Brittiläisen Kolumbian korkeimpaan oikeuteen siviilikanteen LayerZero Labs Ltd:tä, sen kanadalaista tytäryhtiötä, sekä yrityksen perustajajäsentä ja toimitusjohtajaa Bryan Pellegrinoa vastaan, joka on nimetty henkilökohtaisesti. Asia on Vancouverin käräjäoikeudessa rekisterinumerolla 267169. Kanteessa vetoaa tuottamuksesta johtuvaan harhaanjohtamiseen, huolimattomuuteen ja kunnianloukkaukseen ja vaaditaan törkeitä ja rankaisevia vahingonkorvauksia mahdollisen vahingonkorvauksen lisäksi.

Kelp kertoi uutisen itse:

"Nostimme tänään kanteen LayerZeroa ja sen perustajajäsentä Bryan Pellegrinoa vastaan korjataksemme rsETH:n LayerZero-sillan hyväksikäyttöön aiemmin tänä vuonna liittyvät vääryydet. Sen sijaan, että LayerZero ja herra Pellegrino olisivat ottaneet vastuun, he ovat viime kuukausina julkisesti syyttäneet meitä epäonnistumisistaan. Mutta tosiasiat ovat yksinkertaisia: LayerZero tarkisti ja hyväksyi – kirjallisesti – LayerZero-teknologian käyttöönoton ja konfiguroinnin."

Pellegrino ei odottanut kauan vastatakseen. Hänen vastauksensa laskeutui X:lle ennen kuin useimmat mediat olivat edes kirjoittaneet Kelpin lausuntoa:

"Evercrest (KelpDAO) jätti tänään siviilikanteen minua ja LZ:tä vastaan Brittiläisessä Kolumbiassa. Kanne on edelleen perusteeton. Tapaan heidät Vancouverissa ja puolustaudun asianmukaisesti."

__LYHYTKOODIN_TUNNUS_0__

Kaksi puolta, kaksi hyvin erilaista tarinaa samasta paperijäljestä. Siinäpä koko oikeusjuttu yhdessä lauseessa.

Miten me tänne päädyimme?

Palataanpa 18. huhtikuuta. Hyökkääjä varasti 116 500 rsETH:ta – tuolloin noin 292 miljoonaa dollaria – KelpDAO:n ketjujenvälisestä sillasta, joka toimi LayerZeron viestintäpinon päällä. Se on edelleen yksi vuoden rumimmista DeFi-hakkeroinneista, eikä seuraukset olleet pelkästään varastetut varat: Evercrestin mukaan Kelpin käyttäjät ovat sittemmin varastaneet protokollasta yli 650 miljoonaa dollaria.

Hakemuksessa todellinen lähtökohta kuitenkin siirtyy pidemmälle kuin 18. huhtikuuta. Siinä sanotaan, että tunkeutuminen alkoi kuusi viikkoa aiemmin, 6. maaliskuuta, kun hyökkääjä käytti sosiaalista manipulointia levittääkseen haittaohjelman LayerZero-kehittäjän koneelle ja peukaloi hiljaa LayerZeron sisäisiä solmuja sieltä käsin. Siihen mennessä, kun väärennetty viesti lopulta liikkui, KelpDAO:n silta päästi sen läpi, koska rsETH-käyttöönotto toimi hajautetussa 1/1-todentajaverkossa, jossa LayerZero oli ainoa todentaja. Ei toista allekirjoitusta väärennöksen havaitsemiseksi.

Tuo yksittäinen yksityiskohta on pohjimmiltaan koko taistelun ydin. LayerZeron oma hakkeroinnin jälkeinen lausunto ilmaisi asian suoraan: LayerZeron mukaan kokoonpano "on suoraan ristiriidassa LayerZeron johdonmukaisesti kaikille integraatiokumppaneille suositteleman usean DVN:n redundanssimallin kanssa" – ja LayerZeron mukaan KelpDAO valitsi joka tapauksessa riskialttiin 1/1-kokoonpanoon neuvoista huolimatta.

__LYHYTKOODIN_TUNNUS_1__

Evercrest kertoo asian päinvastoin. Väitteessä väitetään, että LayerZero tarkisti ja hyväksyi juuri kyseisen kokoonpanon kirjallisesti – ensin helmikuussa 2024 Kelpille kerrottiin, että oletusarvoinen yhden varmentajan kokoonpano "ei ollut ongelma", ja sitten seuraavana kuukautena ohjattiin sitä kohti toisen protokollan yhden varmentajan järjestelmää. Jos Evercrest pystyy tukemaan tätä varsinaisella kirjeenvaihdolla, LayerZeron "sinua varoitettiin" -muotoilu alkaa näyttää paljon enemmän siltä kunnianloukkausväitteeltä, johon se on sisäänrakennettu.

Huomionarvoista: LayerZero ei pitänyt kiinni alkuperäisestä linjastaan kauaa. Muutaman viikon kuluessa se perui osan siitä julkaisemalla The Defiantin kuvaileman "myöhästyneen anteeksipyynnön" ja myöntämällä, että oli virhe antaa oman DVN:n toimia ainoana varmentajana suurten siirtojen osalta – samalla paljastettuaan, että Lazarus Group oli myrkyttänyt sisäisen RPC-infrastruktuurinsa ja hyökännyt ulkoiseen palveluntarjoajaan DDoS-hyökkäyksellä samassa ikkunassa. Tutkijat, mukaan lukien LayerZero, viittaavat TraderTraitoriin, Pohjois-Koreaan kytköksissä olevaan Lazaruksen sisäiseen yksikköön.

__LYHYTKOODIN_TUNNUS_2__

Toukokuuhun mennessä Kelp oli selvästi lakannut odottamasta tuon tarinan rauhoittumista. Se ilmoitti siirtävänsä rsETH:n Chainlinkin Cross-Chain Interoperability Protocol -protokollaan ja totesi suoraan, että LayerZero oli "syyttänyt käyttäjiä omasta infrastruktuuriviastaan johtuvasta ongelmasta". Kelpin rakentama sbUSD-stablecoin hyllytettiin samalla.

__LYHYTKOODIN_TUNNUS_3__

Mitä Evercrest oikeastaan pyytää?

Huolimattomuus- ja kunnianloukkauskorvauksien lisäksi Decrypt raportoi, että kanteessa vaaditaan noin 2 000 ETH:n korvausta rsETH:n tuen uudelleenrakentamiseen – rahaa sen lisäksi, mitä tuomioistuin määrää Evercrestin kärsimistä maine- ja taloudellisista vahingoista.

Brittiläisen Kolumbian siviililainsäädännön mukaan LayerZerolla ja Pellegrinolla on 21 päivää aikaa vastata, kun se on annettu tiedoksi Kanadassa, tai 35 päivää, jos se on annettu tiedoksi ulkomailla. Mitään näistä ei ole vielä testattu tuomarin edessä, ja LayerZero väittää edelleen, että yhden varmentajan järjestelmä oli Kelpin oma päätös. Pellegrino puolestaan kutsuu kannetta perusteettomaksi eikä ole kiinnostunut sovinnosta.

Kun lukee kaksi selvitystä rinnakkain, ei löydy mitään selvää keskitietä – LayerZero sanoo varoittaneensa Kelpiä, Kelp sanoo LayerZeron allekirjoittaneen päätöksen kirjallisesti. Vancouverin tuomioistuimen on valittava toinen, ja olipa valinta mikä tahansa, jokaisen siltaprotokollan DVN-dokumentaatio tulee todennäköisesti paljon huolellisemmaksi heti sen jälkeen.