Napad vrijedan približno 292 milijuna USD prerastao je u pravni spor dvaju velikih kriptoprojekata. KelpDAO je tužio LayerZero i njegova izvršnog direktora Bryana Pellegrina zbog krađe tokena iz mosta rsETH. Pojednostavljeno, token je digitalna imovina koja se bilježi i prenosi putem lanca blokova. KelpDAO je u petak ustvrdio da su sigurnosni propusti LayerZeroove infrastrukture pridonijeli napadu 18. Travnja. Projekt također osporava LayerZeroov prikaz odgovornosti. Tužba dodatno zaoštrava višemjesečni spor oko odgovornosti. Središnje je pitanje je li krađu omogućilo kompromitiranje LayerZeroove infrastrukture, konfiguracija KelpDAO-ova mosta ili kombinacija tih čimbenika.
Krađa 116.500 rsETH pokrenula je spor
Napadači su iz KelpDAO-ova mosta ukrali 116.500 rsETH, tada vrijednih oko 292 milijuna USD. Most je koristio LayerZeroovu tehnologiju za prijenos imovine između različitih lanaca blokova.
Takvi mostovi važan su dio interoperabilnosti u kriptosustavu. Oni djeluju poput digitalnih graničnih prijelaza: potvrđuju zaključavanje imovine na jednom lancu prije njezina oslobađanja na drugome. LayerZero je u završnom izvješću o incidentu naveo da su napadači kompromitirali njegove interne čvorove.
Njegov je verifikator potom odobrio krivotvorenu međulančanu poruku, koju je most prihvatio kao valjanu. Budući da nije bio potreban drugi neovisni verifikator, most je oslobodio rsETH nakon što je LayerZeroov verifikator odobrio krivotvorenu poruku.
Jedan verifikator postao je ključna točka prijepora
LayerZero dio odgovornosti pripisuje konfiguraciji mosta. KelpDAO se oslanjao na jedan DVN, odnosno jednu decentraliziranu verifikacijsku mrežu, kao jedini obvezni put provjere. Korištenje više DVN-ova moglo je uvesti dodatni sigurnosni sloj. To je usporedivo s trezorom koji za otvaranje zahtijeva dva neovisna ključa umjesto samo jednoga. LayerZero tvrdi da je preporučivao korištenje više verifikacijskih mreža. Nakon incidenta prestao je djelovati kao jedini obvezni verifikator za aplikacije koje koriste njegovu infrastrukturu. KelpDAO osporava takav prikaz odgovornosti. Projekt je u svibnju dodatno poručio da su obje strane ranije razgovarale o postavkama DVN-a. LayerZero je tu konfiguraciju potvrdio kao sigurnu, a KelpDAO nije odgovarajuće upozorio na rizike.
KelpDAO traži odgovornost LayerZeroa i Pellegrina
KelpDAO je zato u tužbi kao tuženike naveo LayerZero i Bryana Pellegrina, njegova suosnivača i izvršnog direktora. Projekt je sigurnost korisničke imovine označio svojim najvišim prioritetom. Istodobno želi ispraviti javni prikaz incidenta te LayerZero i Pellegrina pozvati na odgovornost za štetu nanesenu KelpDAO-u i širem ekosustavu DeFi-ja. Pellegrino je tužbeni zahtjev nazvao neosnovanim te najavio da će se braniti u Vancouveru. Spor obuhvaća dva povezana pitanja: kompromitiranje LayerZeroovih internih čvorova i konfiguraciju KelpDAO-ova mosta s jednim putem provjere. KelpDAO pritom ističe da je LayerZero prije napada pregledao i pisanim putem odobrio tu konfiguraciju.
KelpDAO planira prijeći na Chainlink
KelpDAO je nakon incidenta najavio migraciju mosta rsETH na Chainlinkov Cross-Chain Interoperability Protocol. Time projekt želi promijeniti tehnološku osnovu preko koje rsETH prelazi između lanaca. Migracija sama po sebi ne rješava spor niti vraća ukradene tokene. KelpDAO i LayerZero i dalje međusobno osporavaju prikaze odgovornosti za napad 18. Travnja. LayerZero prije objave nije odgovorio na Cointelegraphov zahtjev za dodatni komentar.
Zaključak
KelpDAO u tužbi tvrdi da su LayerZeroovi sigurnosni propusti pridonijeli krađi 116.500 rsETH, vrijednih približno 292 milijuna USD. LayerZero uzvraća da je most koristio samo jedan DVN, dok KelpDAO ističe da je LayerZero tu konfiguraciju potvrdio kao sigurnu. Spor se usredotočuje na kompromitirane interne čvorove, pisano odobrenje konfiguracije i odgovornost za napad. KelpDAO u međuvremenu planira migrirati most rsETH na Chainlinkov protokol.
