KelpDAO подала до суду на LayerZero Labs і співзасновника компанії Браяна Пеллегріно через один із найбільших злочинів DeFi цього року — атаку на $292 млн проти токена ліквідного рестейкінгу протоколу. Позов подали 25 вересня до Верховного суду Британської Колумбії у Ванкувері.
Сам злом стався ще у квітні: зловмисники вивели 116 500 rsETH — синтетичний ефір, який KelpDAO випускає через мости на інфраструктурі LayerZero. Атакувальники знайшли спосіб проникнути у шар верифікації транзакцій між блокчейнами і провели підроблені повідомлення, які виглядали цілком легітимними.
Evercrest Technologies, юридична особа за KelpDAO, стверджує, що проблема глибша за сам злом. За версією позивача, ще у 2024 році LayerZero перевірила й схвалила конфігурацію з одним-єдиним верифікатором, назвавши її безпечною, а згодом порадила KelpDAO скопіювати точнісінько таку саму схему, яку вже використовував інший міст. При цьому, за словами Evercrest, іншого клієнта — проєкт USDT0 — компанія про той самий ризик нібито попереджала.
LayerZero звинувачення відкидає. «Позов, як і раніше, безпідставний», — заявив Пеллегріно, додавши, що захищатиметься у Ванкувері. За версією самої LayerZero, слабким місцем стала саме одноверифікаторна схема, яку обрав KelpDAO, а зловмисники проникли в систему через соціальну інженерію, обманом отримавши доступ до комп'ютера розробника компанії.
Наслідки злому вийшли далеко за межі одного протоколу. KelpDAO згорнула власний стейблкоїн sbUSD, користувачі вивели з системи близько $650 млн, а за оцінкою аналітиків JPMorgan, весь ринок DeFi через цей удар втратив близько $20 млрд заблокованої ліквідності — частині протоколів, зокрема Aave, довелося позичати кошти, щоб покрити хвилю виведень.
Якщо суд стане на бік KelpDAO, це створить важливий прецедент: інфраструктурні провайдери на кшталт LayerZero нестимуть відповідальність не лише за помилки в коді, а й за поради з безпеки, які дають протоколам, що будують мости на їхній технології.
