KelpDAO demanda a LayerZero y a su director ejecutivo, Bryan Pellegrino, por el hackeo de rsETH por valor de 292 millones de dólares.

El cruce de acusaciones entre KelpDAO y LayerZero acaba de abandonar X y se ha trasladado a un tribunal de la Columbia Británica.

El 24 de septiembre, Evercrest Technologies, la empresa detrás del protocolo de re-apuesta líquida KelpDAO, presentó una demanda civil ante el Tribunal Supremo de Columbia Británica contra LayerZero Labs Ltd., su filial canadiense, y su cofundador y director ejecutivo, Bryan Pellegrino, a quien nombra personalmente. El caso se encuentra en los Tribunales de Vancouver con el número de expediente 267169. La demanda alega tergiversación negligente, negligencia y difamación, y solicita daños punitivos y agravados, además de la indemnización que se determine.

Kelp fue quien dio la noticia:

Hoy presentamos una demanda contra LayerZero y su cofundador, Bryan Pellegrino, para subsanar las irregularidades derivadas de la explotación del puente LayerZero de rsETH a principios de este año. En lugar de asumir la responsabilidad, durante los últimos meses, LayerZero y el Sr. Pellegrino nos han culpado públicamente de sus fallos. Sin embargo, los hechos son claros: LayerZero revisó y aprobó por escrito nuestra implementación y configuración de su tecnología.

Pellegrino no tardó en responder. Su réplica apareció en X antes de que la mayoría de los medios hubieran terminado de redactar la declaración de Kelp:

"Evercrest (KelpDAO) presentó hoy una demanda civil en la Columbia Británica contra mí y LZ. La demanda sigue siendo infundada. Me reuniré con ellos en Vancouver y me defenderé en consecuencia."

Dos versiones, dos historias muy diferentes sobre el mismo rastro documental. Esa es, básicamente, la esencia de toda la demanda en una sola frase.

¿Cómo llegamos hasta aquí?

Retrocedamos al 18 de abril. Un atacante sustrajo 116.500 rsETH —unos 292 millones de dólares en aquel momento— del puente entre cadenas de KelpDAO, que funcionaba con la plataforma de mensajería de LayerZero. Sigue siendo uno de los hackeos más sonados del año en el sector DeFi, y las consecuencias no se limitaron al robo de fondos: Evercrest afirma que los usuarios de Kelp han retirado más de 650 millones de dólares del protocolo desde entonces.

La denuncia sitúa el punto de partida real mucho antes del 18 de abril. Indica que la intrusión comenzó seis semanas antes, el 6 de marzo, cuando un atacante utilizó ingeniería social para instalar malware en el ordenador de un desarrollador de LayerZero y, desde allí, manipuló silenciosamente los nodos internos de LayerZero. Para cuando finalmente se propagó un mensaje falsificado, el puente de KelpDAO lo permitió, ya que la implementación de rsETH se ejecutaba en una red de verificación descentralizada 1 de 1, con LayerZero como único verificador. No había una segunda firma para detectar una falsificación.

Ese único detalle es, básicamente, la clave de todo el problema. La propia declaración de LayerZero tras el ataque fue contundente: la configuración, escribió LayerZero, "contradice directamente el modelo de redundancia multi-DVN que LayerZero ha recomendado sistemáticamente a todos sus socios de integración", y KelpDAO, según LayerZero, optó de todos modos por la arriesgada configuración 1 a 1, en contra de las recomendaciones.

Evercrest lo cuenta al revés. La demanda alega que LayerZero revisó y aprobó por escrito esa configuración exacta: primero le dijo a Kelp en febrero de 2024 que la configuración predeterminada de un solo verificador no suponía ningún problema, y luego, al mes siguiente, lo orientó hacia la configuración de un solo verificador de otro protocolo. Si Evercrest puede respaldar esto con la correspondencia real, el argumento de LayerZero de "ya estaban avisados" se parece mucho más a la demanda por difamación en la que se basa.

Cabe destacar que LayerZero no mantuvo su postura inicial por mucho tiempo. En cuestión de semanas, se retractó parcialmente, emitiendo lo que The Defiant denominó una "disculpa tardía" y admitiendo que fue un error permitir que su propia DVN actuara como único verificador en transferencias de alto valor, al tiempo que reveló que Lazarus Group había envenenado su infraestructura RPC interna y atacado a un proveedor externo con un ataque DDoS aproximadamente en el mismo período. Los investigadores, incluido LayerZero, señalan a TraderTraitor, la unidad vinculada a Corea del Norte dentro de Lazarus.

Para mayo, Kelp claramente había dejado de esperar a que la situación se calmara. Anunció que trasladaría rsETH al Protocolo de Interoperabilidad entre Cadenas de Chainlink, afirmando rotundamente que LayerZero había "culpado a los usuarios por un problema causado por un fallo en su propia infraestructura". La criptomoneda estable sbUSD que Kelp había estado desarrollando quedó archivada en el proceso.

¿Qué es lo que Evercrest está pidiendo realmente?

Además de los daños por negligencia y difamación, Decrypt informó que la demanda también busca una contribución de aproximadamente 2000 ETH para reconstruir el respaldo de rsETH, dinero adicional a lo que un tribunal otorgue por el daño financiero y de reputación que Evercrest dice haber sufrido.

Según las normas civiles de la Columbia Británica, LayerZero y Pellegrino tienen 21 días para responder una vez notificados en Canadá, o 35 días si la notificación se realiza en el extranjero. Nada de esto se ha sometido aún a juicio, y LayerZero sigue sosteniendo que la decisión de utilizar un único verificador fue de Kelp. Por su parte, Pellegrino insiste en que la demanda carece de fundamento y afirma no estar interesado en llegar a un acuerdo.

Si se comparan ambas versiones, no hay un punto intermedio claro: LayerZero afirma haber advertido a Kelp, mientras que Kelp asegura que LayerZero lo autorizó por escrito. Un tribunal de Vancouver tendrá que decantarse por una de las dos, y sea cual sea el resultado, cabe esperar que la documentación de todos los protocolos DVN se vuelva mucho más rigurosa a partir de entonces.