Bridge-exploit brengt LayerZero in juridisch vaarwater

Evercrest Technologies, het bedrijf achter KelpDAO, heeft een civiele claim ingediend bij het Supreme Court of British Columbia tegen LayerZero Labs Ltd., LayerZero Labs Canada Inc. en medeoprichter Bryan Pellegrino. De zaak draait om een bridge-exploit waarbij 116.500 rsETH werd vrijgegeven, op het moment van de aanval ongeveer 292 miljoen dollar waard. De aantijgingen in de rechtszaak zijn niet bewezen en LayerZero is niet aansprakelijk bevonden.

Achtergrond: de 1-op-1 DVN-configuratie

De exploit trof een bridge die KelpDAO-infrastructuur verbond met Unichain. Volgens de claim van Evercrest heeft LayerZero die bridgeconfiguratie beoordeeld en onderschreven, terwijl de opzet steunde op één Decentralized Verifier Network (DVN) in plaats van meerdere onafhankelijke verificateurs.

Zo’n opzet met één verifier vormt volgens KelpDAO een mogelijk single point of failure: valt die ene schakel uit of wordt hij gemanipuleerd, dan is er geen tweede controle die een vervalst bericht kan tegenhouden. Vergelijkbare kwetsbaarheden in verificatie- en toegangslagen kwamen dit jaar ook elders naar voren, zoals bij de iOS-sandbox-exploit die gebruikersfondsen van FOMOPeek blootlegde. Het gaat hier vooralsnog om een stelling uit de rechtszaak; een rechter heeft de technische en juridische verantwoordelijkheid nog niet vastgesteld.

Gevolgen: van technisch incident naar rechtszaak

De vordering van Evercrest steunt op drie gronden: negligence, negligent misrepresentation en defamation. Kern van het geschil is de vraag welke verantwoordelijkheid een infrastructuurprovider draagt wanneer die betrokken is bij het beoordelen of aanbevelen van een beveiligingsconfiguratie die een derde partij vervolgens daadwerkelijk gebruikt.

Cross-chain-incidenten werden tot dusver doorgaans als technisch probleem behandeld: een bridge wordt gekraakt, onderzoekers volgen de gestolen middelen en ontwikkelaars herstellen de kwetsbaarheid. Deze zaak dreigt die discussie ook een juridische dimensie te geven, met mogelijke gevolgen voor hoe interoperabiliteitsprotocollen omgaan met aansprakelijkheid richting de projecten die op hun technologie vertrouwen. Dat raakt een vraagstuk dat verder reikt dan KelpDAO en LayerZero alleen, vergelijkbaar met de manier waarop een rechtszaak rond Polymarket in New York eerder vragen opwierp over verantwoordelijkheid binnen decentrale platforms.

Tijdlijn & procedure

Evercrest heeft de zaak voorgelegd aan het Supreme Court of British Columbia. De exploit zelf dateert van april, toen de bridge tussen KelpDAO en Unichain de genoemde 116.500 rsETH vrijgaf zonder dat daar een vernietiging van tokens op de bronketen tegenover stond.

Met het indienen van de claim verschuift de discussie van publieke schuldverdeling naar een formeel juridisch traject. Een uitspraak over wie verantwoordelijk is voor de exploit ontbreekt vooralsnog; de zaak markeert volgens de beschikbare informatie het begin van dat proces, niet het einde ervan.