KelpDAO poursuit LayerZero et son PDG Bryan Pellegrino après un piratage de 292 millions de dollars

KelpDAO a intenté une action en justice contre LayerZero et son cofondateur Bryan Pellegrino, accusant le fournisseur de bridge de défaillances de sécurité à l’origine de l’exploitation qui a entraîné le vol de 292 millions de dollars en rsETH en avril.

Déposée en Colombie-Britannique, cette plainte constitue à ce jour la démarche la plus directe de KelpDAO pour tenir LayerZero responsable, après des mois de désaccords publics sur les causes de la faille.

KelpDAO accuse LayerZero de défaillances de sécurité

Dans une déclaration publiée sur X le 25 septembre, KelpDAO a affirmé que l’exploitation résultait de l’omission de LayerZero de signaler les faiblesses de sa technologie et d’empêcher une intrusion dans son infrastructure de sécurité.

« Au lieu d’assumer ses responsabilités, LayerZero et M. Pellegrino nous ont publiquement reproché leurs propres défaillances ces derniers mois », a déclaré KelpDAO. « Mais les faits sont clairs : LayerZero a examiné et approuvé par écrit notre déploiement et notre configuration de sa technologie. »

Cette affirmation conteste directement l’argument de LayerZero selon lequel l’attaque était due uniquement à la configuration de rsETH par KelpDAO, puisque le bridge utilisait un réseau de vérificateurs décentralisé (DVN) à vérificateur unique.

Avec cette configuration, le DVN de LayerZero était le seul vérificateur, ce qui signifie qu’un message interchaîne falsifié pouvait être accepté sans qu’un second vérificateur indépendant puisse le rejeter.

LayerZero a affirmé avoir recommandé l’utilisation de plusieurs DVN afin d’éviter un tel point de défaillance unique. Mais KelpDAO a contesté cette version des faits dans un rapport publié le 6 mai. Le protocole a soutenu que la configuration 1-of-1 n’était pas un choix inhabituel allant à l’encontre des recommandations de LayerZero. Il a plutôt affirmé qu’elle était conforme à la documentation officielle de LayerZero et à ses pratiques de déploiement par défaut.

Avant que de prétendus hackers white hat ne dérobent 320 millions de dollars au réseau Liquid (dont la majeure partie a été restituée) et qu’une faille ne touche aujourd’hui le portefeuille chaud de Bitget, emportant 351 millions de dollars, l’incident de KelpDAO était le plus important exploit visant la sécurité des cryptomonnaies en 2026.

À l’époque, Cyvers estimait qu’environ 293,7 millions de dollars en rsETH avaient été dérobés. L’attaquant avait converti les actifs en ETH sur Ethereum et Arbitrum, tandis que des protocoles de prêt, dont Aave V3, Compound V3 et Euler, étaient également touchés.

Pellegrino prêt à se défendre

KelpDAO entend, selon ses propres termes, rétablir la vérité et « tenir LayerZero et M. Pellegrino responsables du préjudice qu’ils ont causé ».

Le PDG de LayerZero a répondu quelques heures plus tard sur X, confirmant qu’Evercrest, l’entité mère de KelpDAO, avait déposé contre lui et son entreprise un avis de réclamation civile en Colombie-Britannique.

« Cette réclamation reste infondée. Je les retrouverai à Vancouver et me défendrai en conséquence », a-t-il écrit.

Sur X également, Seraphim Czecker, de la Solana Foundation, a résumé l’ambiance qui règne lorsqu’on se lance dans la DeFi comme étant digne de l’intrigue de Game of Thrones : soit on est au sommet et on gagne des centaines de millions de dollars, soit son entreprise étouffe et se meurt.

« Si vous vous faites pirater, vous êtes poursuivi en justice jusqu’à la ruine et perdez des années dans des batailles judiciaires », a-t-il ajouté.

Source : CryptoPotato