Puntos clave:
- La empresa matriz de KelpDAO demanda a LayerZero por el exploit del puente rsETH, valorado en 292 millones de dólares.
- Evercrest alega que LayerZero respaldó la controvertida configuración 1-de-1 del DVN del puente.
- Evercrest informa de más de 650 millones de dólares en retiradas; Pellegrino califica la demanda de infundada.
LayerZero se enfrenta a una demanda de la empresa matriz de KelpDAO por el ataque al puente rsETH del 18 de abril, lo que agrava su disputa sobre la responsabilidad. Evercrest Technologies alega que unos fallos de seguridad permitieron a los atacantes robar 116 500 rsETH, por un valor aproximado de 292 millones de dólares en ese momento.
La empresa también cuestiona las declaraciones públicas posteriores que culpan a la configuración del puente de KelpDAO, mientras que el cofundador Bryan Pellegrino niega las acusaciones.
Evercrest presentó el jueves su demanda civil ante el Tribunal Supremo de Columbia Británica. Entre los demandados se encuentran LayerZero Labs Ltd., LayerZero Labs Canada Inc. y Pellegrino.
Evercrest alega tergiversación por negligencia, negligencia y difamación, y reclama una indemnización por daños y perjuicios que incluye daños agravados y punitivos.
La demanda contra LayerZero cuestiona las garantías de seguridad del puente
La demanda se centra en la configuración de la red de verificadores descentralizados (DVN) «1 de 1» del puente de Unichain.
Evercrest alega que el proveedor de tecnología revisó y avaló esa configuración por escrito antes del ataque. Su versión cuestiona las declaraciones posteriores de que la configuración de KelpDAO contradecía el modelo multi-DVN recomendado por el proveedor.
Según la demanda, las comunicaciones por escrito con fecha del 2 de febrero de 2024 indicaban que «no había ningún problema» en utilizar la configuración predeterminada de la DVN.
Evercrest alega además que las instrucciones del 21 de marzo de 2024 le indicaban que utilizara una configuración idéntica de 1 de 1 en otro puente. La empresa cita a ambas plataformas de intercambio para respaldar sus alegaciones sobre el asesoramiento que recibió.
El escrito también describe las garantías sobre la redundancia en varias ubicaciones, los sistemas de supervisión y las alertas dentro de la infraestructura DVN del proveedor.
Evercrest afirma que esas declaraciones contribuyeron a que se percatara de la seguridad del sistema. Alega que el proveedor describió la capacidad máxima de una DVN comprometida como la incapacidad de verificar un mensaje correctamente.
Evercrest contrapone esas garantías a las advertencias que, según se afirma, se compartieron con USDT0 antes del ataque. Según la denuncia, el desarrollador recibió advertencias sobre los riesgos asociados a las configuraciones predeterminadas de los DVN.
Evercrest afirma que no recibió ninguna advertencia equivalente sobre el sistema de verificador único ni ningún consejo para adoptar varios DVN.
La cuenta vulnerada pone en tela de juicio la infraestructura de seguridad
La demanda sitúa el ataque aproximadamente a las 17:35 UTC del 18 de abril. Evercrest alega que los atacantes accedieron a la infraestructura de seguridad del proveedor después de que una maniobra de ingeniería social provocara la instalación de malware en el ordenador de un desarrollador. Atribuye la vulnerabilidad resultante a esa intrusión y a las supuestas debilidades de la tecnología del proveedor.
Además, Evercrest sostiene que el proveedor no reveló esas vulnerabilidades ni impidió la infiltración. La empresa afirma que sus propios sistemas no provocaron el exploit.
Estas acusaciones refuerzan su intento de atribuir la responsabilidad por el rsETH robado y los daños posteriores descritos en su demanda.
La disputa también abarca las declaraciones realizadas tras el ataque. Evercrest afirma que Pellegrino culpó públicamente a KelpDAO por adoptar la configuración «1 de 1», a pesar de los respaldos por escrito anteriores que menciona.
Su demanda por difamación cuestiona esa versión pública, junto con las acusaciones relativas a las medidas de seguridad técnicas y las comunicaciones previas.
Retiradas y cambios en el producto tras el ataque
Más allá de los tokens robados, Evercrest afirma que los usuarios de KelpDAO retiraron más de 650 millones de dólares en activos tras el ataque. La empresa también alega que el incidente trastocó sus planes relacionados con las stablecoins.
Su producto sbUSD se cerró después, lo que supone otra consecuencia descrita en la demanda. Mientras tanto, Evercrest dice que ha empezado a migrar el puente de rsETH a un estándar de seguridad entre cadenas alternativo.
En su comunicado público, describe la migración como parte de los esfuerzos para proteger los activos de los usuarios. La empresa afirma que su demanda también busca que se asuma la responsabilidad por los daños descritos en la misma.
Pellegrino desmintió las acusaciones en una respuesta en X. «La acusación sigue sin fundamento», dijo. Añadió que se defendería como corresponda.
