Крипто-протокол KelpDAO подал иск против LayerZero Labs и её сооснователя Брайана Пеллегрино — сумма спора связана с одним из самых крупных взломов DeFi в этом году, $292 млн. Заявление поступило 25 сентября в Верховный суд Британской Колумбии в Ванкувере.
История началась в апреле, когда неизвестные вывели 116 500 токенов rsETH — синтетического эфира, который KelpDAO выпускает через мосты на базе инфраструктуры LayerZero. Атакующие получили доступ к системе верификации сообщений между блокчейнами и смогли провести поддельные транзакции, которые выглядели полностью легитимными.
По версии компании Evercrest Technologies (юрлицо за KelpDAO), винить нужно не только хакеров. В иске утверждается, что ещё в 2024 году LayerZero одобрила рискованную схему с одним-единственным верификатором транзакций — конфигурацию, которая теоретически позволяет подделать сообщение, скомпрометировав всего одну точку. По словам истца, LayerZero прямо заявила, что с такой настройкой «нет проблем», а позже посоветовала использовать точно такую же схему, которую применял другой мост. При этом другому клиенту — проекту USDT0 — компания якобы предупреждала о тех же рисках.
LayerZero и Пеллегрино с претензиями не согласны. «Иск как был, так и остаётся безосновательным, я встречусь с ними в Ванкувере и буду защищаться», — заявил сооснователь компании. По собственной версии LayerZero, слабым местом была именно однослойная защита, которую выбрал сам KelpDAO, а хакеры проникли в систему через социальную инженерию — обманом получив доступ к компьютеру разработчика.
Последствия взлома оказались куда шире одного протокола. KelpDAO пришлось свернуть собственный стейблкоин sbUSD, пользователи вывели из системы около $650 млн, а по оценке аналитиков JPMorgan, общий эффект на рынке DeFi обошёлся примерно в $20 млрд ликвидности — часть протоколов, включая Aave, была вынуждена занимать средства, чтобы закрыть волну выводов.
Если суд встанет на сторону KelpDAO, это создаст важный прецедент: инфраструктурные провайдеры вроде LayerZero, чьи мосты используют десятки протоколов, окажутся юридически ответственны за советы по безопасности, которые они дают клиентам, а не только за код, который пишут сами.
