Kelp accuse LayerZero d’avoir validé la configuration qui a permis le hack de 292 M$

Ce qu’il faut retenir :

• Kelp DAO affirme que LayerZero a validé pendant 2,5 ans la configuration 1-sur-1 qu’il blâme désormais pour le hack de 292 millions de dollars.
• Des captures d’écran Telegram montrent qu’un membre de l’équipe LayerZero n’a émis aucune objection à cette configuration de sécurité.
• Kelp migre son bridge rsETH vers le protocole Cross-Chain Interoperability de Chainlink suite à cet incident.

LayerZero accusé d’avoir approuvé la faille de sécurité

Kelp DAO accuse LayerZero d’avoir validé la configuration de sécurité qu’il incrimine désormais dans le piratage de 292 millions de dollars de son bridge rsETH. Le protocole de staking liquide affirme que le personnel de LayerZero a approuvé pendant plus de 2,5 ans une configuration 1-sur-1, soit un seul vérificateur pour valider les transactions cross-chain.

Cette accusation contredit frontalement l’analyse post-mortem publiée par LayerZero le 19 avril. Le protocole d’interopérabilité avait alors pointé du doigt cette configuration comme étant directement contraire à son modèle multi-DVN recommandé et responsable de l’attaque menée par des hackers nord-coréens.

Des échanges Telegram comme preuves

Kelp publie des captures d’écran d’échanges Telegram pour étayer ses accusations. Un membre de l’équipe LayerZero y déclare : Aucun problème pour utiliser les paramètres par défaut non plus… je vais laisser cela à votre équipe ! Selon Kelp, ces ‘paramètres par défaut’ désignent précisément la configuration LayerZero Labs DVN 1-sur-1 que LayerZero blame aujourd’hui pour l’exploit.

Le protocole affirme que LayerZero a examiné ses configurations lors de huit discussions d’intégration sans jamais alerter sur les risques de sécurité liés à une configuration 1-sur-1. CoinDesk précise ne pas avoir pu authentifier de manière indépendante ces captures d’écran.

La documentation LayerZero en question

Kelp pointe également les incohérences dans la documentation officielle de LayerZero. Le protocole OFT Quickstart et les exemples de configuration sur GitHub montrent LayerZero Labs comme DVN requis, sans DVN optionnel configuré. Cette documentation contredit les recommandations multi-vérificateurs défendues après coup par LayerZero.

Le chercheur en sécurité Sujith Somraaj de Spearbit confirme avoir soumis un rapport de bug bounty décrivant le même schéma d’attaque, rejeté par LayerZero. Mon bug bounty : pas une vulnérabilité, nécessite tous les DVN. Leur déploiement : supprime la partie ‘tous’. Les hackers : collectent 295 millions de dollars de prime à la place, écrit-il sur X.

Migration vers Chainlink

Kelp annonce migrer son bridge rsETH de LayerZero vers le protocole Cross-Chain Interoperability de Chainlink, une rupture définitive avec LayerZero.