KelpDAO подала в суд на LayerZero и генерального директора Брайана Пеллегрино из-за взлома rsETH на сумму 292 миллиона долларов.

Перепалка между KelpDAO и LayerZero переместилась из X в зал суда Британской Колумбии.

24 сентября компания Evercrest Technologies, разработчик протокола ретстейкинга KelpDAO, подала гражданский иск в Верховный суд Британской Колумбии против LayerZero Labs Ltd., своего канадского подразделения, и соучредителя и генерального директора Брайана Пеллегрино, указанного в иске лично. Дело рассматривается в Ванкуверском суде под номером 267169. Истцы обвиняют компанию в небрежном введении в заблуждение, халатности и клевете, а также требуют выплаты компенсации за моральный ущерб и штрафных санкций в дополнение к любой другой сумме компенсации, которая будет присуждена в результате судебного разбирательства.

Новость сообщила сама компания Kelp:

«Сегодня мы подали иск против LayerZero и её соучредителя Брайана Пеллегрино, чтобы исправить ошибки, связанные с эксплуатацией моста LayerZero rsETH в начале этого года. Вместо того чтобы взять на себя ответственность, в течение последних нескольких месяцев LayerZero и г-н Пеллегрино публично обвиняли нас в своих неудачах. Но факты говорят сами за себя: LayerZero проверила и одобрила — в письменной форме — наше развертывание и конфигурацию технологии LayerZero».

Пеллегрино не стал долго ждать, чтобы ответить. Его комментарий появился на X еще до того, как большинство изданий успели опубликовать заявление Келпа:

«Компания Evercrest (KelpDAO) сегодня подала в Британской Колумбии уведомление о гражданском иске против меня и LZ. Иск по-прежнему необоснован. Я встречусь с ними в Ванкувере и буду защищаться в соответствии с ними».

__КОРОТКИЙ_ТОКЕН_0__

Две стороны, две совершенно разные истории об одном и том же документальном следе. В этом, по сути, и заключается весь судебный процесс в одном предложении.

Как мы сюда попали?

Вернемся к 18 апреля. Злоумышленник вывел 116 500 rsETH — около 292 миллионов долларов на тот момент — из кроссчейн-моста KelpDAO, работающего на платформе обмена сообщениями LayerZero. Это до сих пор один из самых неприятных взломов DeFi в этом году, и последствия коснулись не только украденных средств: Evercrest утверждает, что с тех пор пользователи Kelp вывели из протокола более 650 миллионов долларов.

Однако в иске указывается, что реальная отправная точка событий произошла не только 18 апреля. В нем говорится, что вторжение началось шестью неделями ранее, 6 марта, когда злоумышленник использовал методы социальной инженерии для внедрения вредоносного ПО на компьютер разработчика LayerZero и незаметно вмешался во внутренние узлы LayerZero. К тому моменту, когда поддельное сообщение наконец-то было отправлено, мост KelpDAO пропустил его, поскольку развертывание rsETH работало в децентрализованной сети верификаторов с единственным верификатором (1 из 1), где LayerZero был единственным верификатором. Второй подписи для обнаружения подделки не было.

Эта единственная деталь, по сути, и составляет всю суть конфликта. В своем заявлении после взлома компания LayerZero прямо заявила: такая конфигурация, как написала LayerZero, «прямо противоречит модели резервирования с использованием нескольких доменов DVM, которую LayerZero постоянно рекомендовала всем партнерам по интеграции» — и, по словам LayerZero, KelpDAO все равно выбрала рискованную конфигурацию «один к одному», вопреки советам.

__КОРОТКИЙ_ТОКЕН_1__

Evercrest утверждает обратное. В иске говорится, что LayerZero проверила и одобрила именно эту конфигурацию в письменной форме — сначала сообщив Kelp еще в феврале 2024 года, что стандартная конфигурация с одним верификатором «не представляет проблемы», а затем направив его к использованию конфигурации с одним верификатором другого протокола в следующем месяце. Если Evercrest сможет подтвердить это фактической перепиской, то аргумент LayerZero «вас предупреждали» начнет выглядеть как клеветнический иск, в который он встроен.

Стоит отметить: LayerZero недолго придерживалась своей первоначальной позиции. Через несколько недель компания частично отступила от неё, принеся, как назвал это издание The Defiant, «запоздалые извинения» и признав, что было ошибкой позволить собственному DVN выступать в качестве единственного верификатора для крупных денежных переводов — а также сообщив, что Lazarus Group отравила её внутреннюю RPC-инфраструктуру и атаковала внешнего провайдера DDoS-атакой примерно в тот же период. Следователи, включая LayerZero, указывают на TraderTraitor, связанное с Северной Кореей подразделение внутри Lazarus.

__КОРОТКИЙ_ТОКЕН_2__

К маю компания Kelp явно перестала ждать, пока эта история уляжется. Она объявила о переводе rsETH на протокол межсетевого взаимодействия Chainlink, категорически заявив, что LayerZero «обвинила пользователей в проблеме, вызванной сбоем их собственной инфраструктуры». В результате этого стейблкоин sbUSD, который разрабатывала Kelp, был отложен.

__КОРОТКИЙ_ТОКЕН_3__

Что именно просит компания Evercrest?

Помимо компенсации за халатность и клевету, Decrypt сообщила, что в иске также запрашивается компенсация в размере примерно 2000 ETH на восстановление поддержки rsETH — деньги сверх того, что суд присудит за репутационный и финансовый ущерб, который, по утверждению Evercrest, компания понесла.

Согласно гражданским правилам Британской Колумбии, у LayerZero и Пеллегрино есть 21 день на ответ после вручения уведомления в Канаде или 35 дней, если уведомление вручено за границей. Ничто из этого еще не было проверено судьей, и LayerZero по-прежнему утверждает, что решение о едином проверяющем органе было принято самим Келпом. Пеллегрино, со своей стороны, продолжает называть иск безосновательным и заявляет, что не заинтересован в мировом соглашении.

Если сравнить два отчета, очевидной золотой середины нет — LayerZero утверждает, что предупредила Kelp, а Kelp заявляет, что LayerZero дала письменное согласие. Ванкуверскому суду придется выбрать один из вариантов, и в любом случае следует ожидать, что документация по защите от вредоносных программ (DVN) во всех протоколах мостов станет гораздо более тщательной сразу после этого.