KelpDAO подає до суду на LayerZero та його генерального директора Браяна Пеллегріно через злом rsETH на 292 мільйони доларів.

Гра звинувачень між KelpDAO та LayerZero щойно покинула X та зайшла до зали суду Британської Колумбії.

24 вересня компанія Evercrest Technologies, яка стоїть за протоколом рестейкінгу ліквідних активів KelpDAO, подала цивільний позов до Верховного суду Британської Колумбії проти LayerZero Labs Ltd., її канадського підрозділу, та співзасновника й генерального директора Брайана Пеллегріно, якого назвали особисто. Справа розглядається в суді Ванкувера під номером 267169. У ній зазначається недбале викривлення фактів, недбалість та наклеп, а також вимагається відшкодування збитків у вигляді обтяжуючих обставин та штрафних санкцій на додаток до будь-якої компенсаційної суми, що випливає з цього.

Келп сам повідомив новину:

«Сьогодні ми подали позов проти LayerZero та її співзасновника, Брайана Пеллегріно, щоб виправити помилки, пов’язані з експлуатацією мосту LayerZero rsETH на початку цього року. Замість того, щоб взяти на себе відповідальність, протягом останніх кількох місяців LayerZero та пан Пеллегріно публічно звинувачували нас у своїх невдачах. Але факт є очевидним: LayerZero переглянула та письмово схвалила наше розгортання та конфігурацію технології LayerZero».

Пеллегріно недовго чекав, щоб відповісти. Його відповідь прибула на X ще до того, як більшість ЗМІ встигли опублікувати заяву Келпа:

«Сьогодні компанія Evercrest (KelpDAO) подала цивільний позов у Британській Колумбії проти мене та LZ. Позов залишається безпідставним. Я зустрінуся з ними у Ванкувері та захищатиму себе відповідно».

__КОРОТКИЙ_ТОКЕН_0__

Дві сторони, дві дуже різні історії про один і той самий паперовий слід. Ось, по суті, весь позов в одному реченні.

Як ми сюди потрапили?

Перемотаємо на 18 квітня. Зловмисник витягнув 116 500 rsETH — близько 292 мільйонів доларів на той час — з крос-чейн-моста KelpDAO, який працював на стеку обміну повідомленнями LayerZero. Це досі один з найпотворніших зломів DeFi року, і наслідками стали не лише викрадені кошти: Evercrest каже, що користувачі Kelp вивели з протоколу понад 650 мільйонів доларів з того часу.

Однак, у заяві справжня відправна точка відсувається далі, ніж 18 квітня. У ній йдеться, що вторгнення почалося на шість тижнів раніше, 6 березня, коли зловмисник використав соціальну інженерію, щоб встановити шкідливе програмне забезпечення на машину розробника LayerZero та непомітно втрутився у внутрішні вузли LayerZero звідти. На той час, як підроблене повідомлення нарешті передалося, міст KelpDAO пропустив його, оскільки розгортання rsETH працювало в децентралізованій мережі верифікаторів 1-до-1, де LayerZero був єдиним верифікатором. Немає другого підпису, щоб викрити підробку.

Ця єдина деталь, по суті, і є вся суть боротьби. У своїй заяві після злому LayerZero прямо висловився: ця схема, як написав LayerZero, «прямо суперечить моделі резервування кількох DVN, яку LayerZero послідовно рекомендував усім партнерам з інтеграції» — і KelpDAO, за словами LayerZero, все одно обрав ризиковану схему 1-в-1, всупереч порадам.

__КОРОТКИЙ_ТОКЕН_1__

Evercrest стверджує навпаки. У заяві стверджується, що LayerZero переглянув і письмово схвалив саме цю конфігурацію — спочатку повідомивши Kelp ще в лютому 2024 року, що налаштування з одним верифікатором за замовчуванням «не проблематичне», а потім наступного місяця спрямувавши її на домовленість з одним верифікатором іншого протоколу. Якщо Evercrest зможе підтвердити це фактичним листуванням, формулювання LayerZero у стилі «вас попереджали» починає виглядати набагато більше схожим на твердження про наклеп, в яке воно вбудоване.

Варто зазначити: LayerZero недовго дотримувався своєї початкової лінії. Протягом кількох тижнів він частково відмовився від неї, опублікувавши те, що The Defiant назвав «запізнілими вибаченнями», та визнавши, що було помилкою дозволити власному DVN діяти як єдиний верифікатор переказів високої вартості, а також розповівши, що Lazarus Group отруїла його внутрішню інфраструктуру RPC та вдарила зовнішнього постачальника DDoS приблизно в той самий час. Слідчі, включаючи LayerZero, вказують на TraderTraitor, пов'язаний з Північною Кореєю підрозділ у складі Lazarus.

__КОРОТКИЙ_ТОКЕН_2__

До травня Kelp явно перестала чекати на вирішення цієї історії. Вона оголосила про переведення rsETH на протокол міжланцюгової сумісності Chainlink, категорично заявивши, що LayerZero «звинуватила користувачів у проблемі, спричиненій збоєм їхньої власної інфраструктури». У процесі було відкладено розробку стейблкоїна sbUSD, який Kelp розробляла.

__КОРОТКИЙ_ТОКЕН_3__

Чого насправді просить Evercrest?

Окрім відшкодування збитків за недбалість та наклеп, Decrypt повідомив, що позов також вимагає внеску приблизно 2000 ETH на відновлення підтримки rsETH — гроші на додаток до будь-якої суми, яку суд присудить за репутаційну та фінансову шкоду, яку, за словами Evercrest, вона зазнала.

Згідно з цивільними правилами Британської Колумбії, LayerZero та Pellegrino мають 21 день на відповідь після вручення в Канаді або 35 днів, якщо вручення за кордоном. Жодне з цих рішень ще не було перевірено перед суддею, і LayerZero досі стверджує, що рішення про встановлення єдиного верифікатора було прийнято самим Келпом. Пеллегріно, зі свого боку, продовжує називати позов безпідставним і каже, що не зацікавлений у врегулюванні.

Якщо прочитати два документи поруч, то очевидної золотої середини немає — LayerZero каже, що попереджав Kelp, Kelp каже, що LayerZero підписав письмове схвалення. Суд Ванкувера повинен буде обрати один варіант, і як би він не піде, очікуйте, що документація DVN кожного протоколу мосту одразу після цього стане набагато ретельнішою.