KelpDAO подала иск против LayerZero и Брайана Пеллегрино

Компания Evercrest Technologies, стоящая за проектом KelpDAO, подала жалобу в Верховный суд Британской Колумбии. В иске утверждается, что LayerZero не предоставила полную информацию о технологических рисках своей инфраструктуры, использовавшейся для верификации транзакций. По версии истца, LayerZero дало письменное одобрение конфигурации моста для rsETH до того, как произошел взлом.

Команда KelpDAO настаивает, что действовала в соответствии с задокументированными настройками по умолчанию от LayerZero и что атака произошла не по их вине. Однако обе стороны имеют различные точки зрения относительно ответственности. В итоговом отчете LayerZero по инциденту отмечается, что злоумышленники проникли в инфраструктуру LayerZero Labs до того, как мост rsETH произвел выдачу средств.

Брайан Пеллегрино, представляющий LayerZero, охарактеризовал претензии как необоснованные и выразил готовность защищаться в суде. В апрельском отчете LayerZero указывалось, что команда KelpDAO сама создала предпосылки для инцидента, использовав децентрализованную сеть верификаторов (DVN) с конфигурацией 1 из 1, что оставило единственного верификатора, который не мог отклонить ложное кроссчейн-сообщение. Это создало единую точку отказа, из-за чего хакеры смогли провести нужные транзакции, хотя ранее LayerZero рекомендовала использовать несколько верификаторов.

Атака на LayerZero началась 6 марта, когда злоумышленники применили методы социальной инженерии против одного из разработчиков. Позже неизвестный проник в облачную RPC-среду LayerZero и изменил внутренние RPC-узлы, используемые децентрализованной сетью верификаторов LayerZero Labs. Во время атаки 18 апреля скомпрометированные узлы передавали недостоверные данные блокчейна, в то время как злоумышленники проводили DDoS-атаку на внешние RPC-провайдеры. В результате децентрализованная сеть верификаторов LayerZero подписала поддельное сообщение как действительное, и мост Kelp выдал 116 500 токенов rsETH.

По словам аналитиков Chainalysis, этот инцидент представляет собой атаку на инфраструктуру верификации, работающую вне блокчейна, а не уязвимость смарт-контракта токена rsETH моста Kelp. Позже злоумышленники попытались вывести еще 40 000 токенов rsETH, но команда Kelp остановила работу смарт-контрактов, предотвратив кражу.

В августе произошло 50 крупных взломов криптоплатформ, что на 67% больше, чем в июле, когда было зафиксировано 30 инцидентов. Потери от эксплойтов в августе составили $136,3 млн.