Le pont rsETH vidé en quelques heures
Le 18 avril 2024, une faille de sécurité a permis à des attaquants de siphonner 116 500 rsETH du protocole KelpDAO, soit l’équivalent de 292 millions de dollars au moment des faits.
L’enquête révèle que les pirates ont profité d’une faiblesse structurelle dans le modèle de vérification du bridge, ce qui a permis la création frauduleuse d’un volume massif de rsETH non adossé.
La plainte civile a été déposée par Evercrest Technologies devant la Cour suprême de la Colombie-Britannique contre LayerZero Labs Ltd., LayerZero Labs Canada Inc. et Bryan Pellegrino.
La faille : un seul vérificateur approuvé
Au cœur du litige se trouve la configuration du bridge rsETH : celui-ci reposait sur un unique réseau de vérificateurs (DVN), fourni par LayerZero. En pratique, cela signifiait qu’un seul validateur – celui opéré par LayerZero – devait approuver les transferts inter-chaînes. Cette architecture “1-of-1” a été explicitement validée par écrit par LayerZero en février et mars 2024, d’après la plainte déposée devant la Cour suprême de Colombie-Britannique.
Après l’exploit, LayerZero a publiquement critiqué cette configuration à validateur unique, tout en reconnaissant quelques jours plus tard avoir commis une erreur en l’acceptant pour des volumes aussi importants.
LayerZero indique désormais que son propre vérificateur refusera toute signature s’il est seul requis sur un canal, imposant plusieurs sources indépendantes pour valider les transactions. Ce changement intervient alors que près de 14,5 milliards de dollars d’actifs liés à divers projets migrent hors de LayerZero vers d’autres solutions comme CCIP (Chainlink), conséquence directe des doutes sur le modèle de sécurité initial.
Un malware à l’origine de l’attaque
L’origine technique de l’exploit remonte au 6 mars 2024 : un logiciel malveillant aurait été installé sur l’ordinateur d’un développeur LayerZero. Cette compromission a permis aux attaquants d’accéder aux nœuds internes du réseau et, le 18 avril, d’envoyer un message falsifié au vérificateur. Ce dernier a alors autorisé la création et le transfert des fameux 116 500 rsETH sans couverture réelle.
La séquence détaillée dans la plainte montre que les assaillants ont exploité leur accès pour manipuler le système et contourner toute alerte potentielle. Evercrest affirme avoir réussi à bloquer une seconde tentative peu après la première attaque, limitant ainsi les pertes additionnelles.
Voir Aussi
La configuration validée, puis critiquée
En moins d’une semaine après l’incident, LayerZero est revenu sur ses positions publiques concernant la responsabilité du choix “1-of-1”, admettant une part d’erreur dans sa validation écrite préalable.
Ce qu’on sait sur les responsabilités
Evercrest Technologies accsue LayerZero non seulement de négligence technique mais aussi de fausse déclaration et même de diffamation suite à des critiques publiques post-exploit. La société réclame des dommages-intérêts aggravés et punitifs devant la justice canadienne ; elle souligne également que plus de 650 millions de dollars ont été retirés par les utilisateurs depuis l’incident, signe tangible du manque de confiance généré.
Bryan Pellegrino, CEO de LayerZero Labs, a qualifié ces accusations « de dénuées de fondement » sur X (ex-Twitter) et promet une défense vigoureuse lors du procès prévu à Vancouver. Aucune réponse formelle n’a encore été déposée au tribunal à ce stade. D’après cryptoslate.com, cette affaire met sous pression tout le modèle décentralisé proposé par LayerZero et peut peser sur durablement la façon dont sont conçus les bridges inter-chaînes dans l’écosystème crypto.
Points de vigilance
La plainte civile déposée par Evercrest Technologies contre LayerZero et son CEO Bryan Pellegrino devant la Cour suprême de la Colombie-Britannique, à la suite de l’exploit du 18 avril ayant vidé 292 millions de dollars du bridge rsETH, reste à instruire et aucune réponse n’a encore été déposée au tribunal ; l’issue de cette procédure pourrait avoir un impact immédiat sur la responsabilité juridique des acteurs impliqués.