Bedrijf achter KelpDAO klaagt LayerZero aan

Evercrest Technologies, het bedrijf achter cryptoproject KelpDAO, heeft gisteren infrastructuurbedrijven LayerZero Labs Ltd. en LayerZero Labs Canada Inc. en LayerZero-medeoprichter Bryan Pellegrino aangeklaagd over een exploit waarbij voor circa $292 miljoen aan tokens vrijkwam.

De civiele claim is ingediend bij het Supreme Court of British Columbia. Evercrest beschuldigt de drie gedaagden onder meer van nalatigheid, misleidende verklaringen en smaad. Het bedrijf vraagt ook om verzwaarde en bestraffende schadevergoeding. Het gevorderde totaalbedrag blijft onbekend: de $292 miljoen is de geschatte waarde van de buit op het moment van de aanval.

Die aanval trof op 18 april de bridge van KelpDAO, een verbinding waarmee crypto tussen blockchains wordt verplaatst. De aanvaller kreeg 116.500 rsETH-tokens vrij. Volgens LayerZero begon de inbraak al op 6 maart, toen een ontwikkelaar sociaal werd gemanipuleerd, de aanvaller sessiesleutels buitmaakte en toegang kreeg tot de cloudomgeving van het bedrijf.

Eén handtekening bleek genoeg

Daarna manipuleerde de aanvaller interne computers die berichten voor de bridge controleerden. Een externe aanbieder van computerverbindingen werd tegelijk uitgeschakeld door een aanval die de verbinding overbelastte. Daardoor steunde de digitale ondertekeningsdienst alleen nog op twee besmette interne systemen en gaf de dienst een geldige goedkeuring af voor een vervalst bericht.

KelpDAO had de bridge zo ingesteld dat één digitale goedkeuring voldoende was. Daardoor accepteerde het programma het vervalste bericht en kwamen de tokens vrij. Eén handtekening bleek genoeg. Dat was precies het probleem.

Over de verantwoordelijkheid staan de partijen lijnrecht tegenover elkaar. Evercrest stelt dat de aanval voortkwam uit een falen van LayerZero's beveiligingsinfrastructuur. Volgens de claim had LayerZero de opzet met één controleur vooraf bekeken en op 2 februari 2024 geschreven dat daarmee „no problem” was. Op 21 maart 2024 zou LayerZero bovendien naar dezelfde opzet bij een andere bridge hebben verwezen.

LayerZero erkent dat zijn omgeving werd gekraakt, maar stelt dat zo veel tokens konden vrijkomen doordat KelpDAO slechts één controleur vereiste. Het bedrijf zegt juist meerdere onafhankelijke controles te hebben aanbevolen. LayerZero heeft zijn werkwijze inmiddels aangepast: zijn eigen controledienst weigert voortaan als enige vereiste ondertekenaar op te treden.

Topman noemt claim ongegrond

Evercrest verwijt Pellegrino ook dat hij na de exploit publiekelijk KelpDAO de schuld gaf. De medeoprichter noemt de claim „meritless” en zegt dat hij LayerZero en zichzelf in Vancouver zal verdedigen.

Volgens Evercrest hebben gebruikers sinds de aanval voor meer dan $650 miljoen aan vermogen uit KelpDAO weggehaald. Dat bedrag betreft de opgegeven uitstroom; de waarde van de buit en de gevorderde schade zijn andere bedragen.

Van het gestolen vermogen bleef circa $71 miljoen bevroren. Begin juni was volgens gegevens van blockchainonderzoekers bijna de volledige overige circa $220 miljoen witgewassen; ongeveer $1,7 miljoen stond toen nog in een aan de aanvaller gekoppelde wallet. LayerZero schrijft de aanval op basis van onderzoek van beveiligingsbedrijven toe aan de Noord-Koreaanse actor TraderTraitor, maar die toeschrijving is geen strafrechtelijke vaststelling.

KelpDAO meldde na een hersteloperatie van vijf weken dat de cryptomunt rsETH was hersteld en verving daarna zijn bridge. Wie welk deel van het uiteindelijke verlies droeg, is niet vastgesteld. De bridge is vervangen. De rekening ligt nog bij de rechter.