KelpDAO 개발자, 2억 9200만 달러 규모의 브리지 익스플로잇에 대해 LayerZero를 고소

본문

Evercrest는 LayerZero가 여러 번 서면으로 단일 검증자 구성을 승인한 후 다른 개발자에게 이에 대해 경고했다고 말했습니다. KelpDAO 뒤에 있는 회사는 지난 4월 재확보 프로토콜에서 2억 9200만 달러를 빼낸 공격에 대해 LayerZero와 그 CEO를 고소했으며, LayerZero가 나중에 손실의 원인이 된 정확한 브리지 구성을 작성하는 데 승인했다고 주장했습니다. Evercrest Technologies는 수요일에 브리티시 컬럼비아 대법원에 민사 소송 통지서를 제출하여 LayerZero Labs Ltd., LayerZero Labs Canada Inc. 및 Telegram 및 X의 게시물에 대해 개인적으로 고소당한 공동 창립자 Bryan Pellegrino를 지명했습니다. KelpDAO의 브리지는 1:1 설정을 실행했습니다.

즉, LayerZero의 자체 검증 네트워크는 동등한 토큰이 다른 체인에서 발행되기 전에 토큰이 한 체인에 잠겨 있음을 확인하는 유일한 당사자였습니다. 파일에 따르면 LayerZero는 2024년 2월에 초안 코드가 "좋음"이며 기본 구성을 사용할 때 "문제가 없다"고 밝혔으며, 2024년 3월에는 LayerZero의 자체 검증기와 함께 1/1 설정을 사용하도록 명시적으로 지시했습니다. 2025년 1월 LayerZero는 검증기가 손상되더라도 메시지를 올바르게 검증하지 못하는 것이 최선이라고 말했습니다. 또한 서류에는 LayerZero가 별도의 개발자인 USDT0에게 2024년 말 또는 2025년 초에 기본 검증기 구성의 위험에 대해 경고하여 해당 개발자가 자체적으로 실행하도록 유도했다고 나와 있습니다. 공격은 클레임 계정의 LayerZero 내부에서 시작되었습니다.

공격자는 3월 6일 LayerZero 개발자의 컴퓨터에 악성 코드를 설치한 다음 LayerZero의 노드를 변조하여 검증자에게 잘못된 판독값을 제공했습니다. LayerZero의 사건 성명서는 단일 검증기 설정이 "모든 통합 파트너에게 지속적으로 권장하는" 다중 DVN 모델과 모순된다고 밝혔으며 Pellegrino는 "아무도 단독 DVN에 의존해서는 안 됩니다"라고 썼습니다. 며칠 후, 서류에 따르면 LayerZero는 "[자사의] DVN이 고가치 거래에 대해 1/1 DVN 역할을 하도록 허용함으로써 실수를 저질렀다"고 인정했습니다. Evercrest는 rsETH의 지원을 복원하기 위한 2,000 ETH 기여, 악용 이후 6억 5천만 달러 이상의 인출, 규제 기관 및 거래소 경고를 불러일으킨 KERNEL 토큰의 하락 등 손해 배상을 청구합니다.

KelpDAO는 LayerZero가 공격 이전에 브리지 설정을 승인했다고 밝혔고 CEO인 Bryan Pellegrino는 소송이 가치가 없다고 일축했습니다.