A KelpDAO processa a LayerZero e seu CEO, Bryan Pellegrino, pelo desfalque de US$ 292 milhões em rsETH.

A troca de acusações entre a KelpDAO e a LayerZero saiu do controle e foi parar em um tribunal da Colúmbia Britânica.

Em 24 de setembro, a Evercrest Technologies, empresa por trás do protocolo de reestabelecimento líquido KelpDAO, entrou com uma ação civil na Suprema Corte da Colúmbia Britânica contra a LayerZero Labs Ltd., sua filial canadense, e o cofundador e CEO Bryan Pellegrino, nomeado pessoalmente. O caso tramita no Tribunal de Justiça de Vancouver sob o número 267169. A ação alega declaração falsa por negligência, negligência e difamação, e pede indenização por danos agravados e punitivos, além de qualquer indenização compensatória que venha a ser concedida.

Kelp divulgou a notícia por conta própria:

"Hoje, entramos com uma ação judicial contra a LayerZero e seu cofundador, Bryan Pellegrino, para corrigir os erros associados à exploração da ponte LayerZero da rsETH no início deste ano. Em vez de assumir a responsabilidade, nos últimos meses, a LayerZero e o Sr. Pellegrino nos culparam publicamente por suas falhas. Mas os fatos são claros: a LayerZero revisou e aprovou — por escrito — nossa implementação e configuração da tecnologia da LayerZero."

Pellegrino não demorou a responder. Sua réplica foi publicada no X antes mesmo que a maioria dos veículos de comunicação tivesse terminado de redigir a declaração de Kelp:

"A Evercrest (KelpDAO) apresentou hoje uma notificação de ação civil na Colúmbia Britânica contra mim e LZ. A ação continua sem fundamento. Irei encontrá-los em Vancouver e me defenderei adequadamente."

Duas versões, duas histórias muito diferentes sobre o mesmo rastro documental. Essa é basicamente a essência de todo o processo judicial em uma frase.

Como chegamos aqui?

Retrocedendo para 18 de abril, um atacante drenou 116.500 rETH — cerca de US$ 292 milhões na época — da ponte entre blockchains da KelpDAO, que rodava na plataforma de mensagens da LayerZero. Ainda é um dos piores ataques cibernéticos do ano no setor DeFi, e as consequências não se limitaram aos fundos roubados: a Evercrest afirma que os usuários da Kelp já retiraram mais de US$ 650 milhões do protocolo desde então.

O processo judicial, no entanto, retrocede o verdadeiro ponto de partida para uma data anterior a 18 de abril. Segundo o documento, a intrusão começou seis semanas antes, em 6 de março, quando um invasor usou engenharia social para instalar malware na máquina de um desenvolvedor da LayerZero e, a partir daí, adulterou silenciosamente os nós internos da LayerZero. Quando uma mensagem falsificada finalmente foi transmitida, a ponte da KelpDAO a permitiu, porque a implementação do rsETH funcionava em uma rede de verificação descentralizada 1 de 1, com a LayerZero como a única verificadora. Não havia uma segunda assinatura para detectar uma falsificação.

Esse único detalhe é basicamente o cerne da questão. A própria declaração da LayerZero após o ataque foi direta: a configuração, escreveu a LayerZero, "contradiz diretamente o modelo de redundância multi-DVN que a LayerZero tem recomendado consistentemente a todos os parceiros de integração" — e a KelpDAO, segundo a LayerZero, optou pela arriscada configuração 1 de 1 mesmo assim, contrariando as recomendações.

A Evercrest contesta essa versão. A alegação afirma que a LayerZero revisou e aprovou essa configuração específica por escrito — primeiro dizendo à Kelp, em fevereiro de 2024, que a configuração padrão com um único verificador "não apresentava problemas", e depois direcionando-a para o arranjo com um único verificador de outro protocolo no mês seguinte. Se a Evercrest puder comprovar isso com a correspondência original, a alegação da LayerZero de "você foi avisado" começará a se parecer muito mais com a ação por difamação na qual está inserida.

Vale ressaltar: a LayerZero não manteve sua posição original por muito tempo. Em poucas semanas , recuou em parte, emitindo o que o The Defiant chamou de um "pedido de desculpas tardio" e admitindo que foi um erro permitir que seu próprio DVN atuasse como único verificador em transferências de alto valor — além de revelar que o Grupo Lazarus havia contaminado sua infraestrutura interna de RPC e atacado um provedor externo com um DDoS no mesmo período. Investigadores, incluindo a LayerZero, apontam para a TraderTraitor, a unidade ligada à Coreia do Norte dentro do Grupo Lazarus.

Em maio, a Kelp claramente parou de esperar que essa história se resolvesse. Anunciou que estava migrando o rsETH para o Protocolo de Interoperabilidade entre Cadeias (Cross-Chain Interoperability Protocol) da Chainlink, afirmando categoricamente que a LayerZero havia "culpado os usuários por um problema causado por uma falha em sua própria infraestrutura". A stablecoin sbUSD que a Kelp vinha desenvolvendo foi arquivada nesse processo.

O que Evercrest está realmente pedindo?

Além dos danos por negligência e difamação, o Decrypt informou que a ação também busca uma contribuição de aproximadamente 2.000 ETH para reconstruir o suporte do rsETH — dinheiro que se soma a qualquer indenização que o tribunal venha a conceder pelos danos financeiros e à reputação que a Evercrest alega ter sofrido.

De acordo com as normas de direito civil da Colúmbia Britânica, a LayerZero e Pellegrino têm 21 dias para responder após serem notificados no Canadá, ou 35 dias se notificados no exterior. Nada disso foi testado perante um juiz ainda, e a LayerZero continua a afirmar que a configuração com um único verificador foi uma decisão da própria Kelp. Pellegrino, por sua vez, continua alegando que o processo é infundado e diz não ter interesse em um acordo.

Ao ler os dois relatos lado a lado, não há meio-termo óbvio: a LayerZero afirma ter alertado a Kelp, enquanto a Kelp alega que a LayerZero aprovou o aviso por escrito. Um tribunal de Vancouver terá que escolher um dos lados, e seja qual for a decisão, espere que a documentação DVN de todos os protocolos de ponte se torne muito mais rigorosa logo em seguida.