Empresa por trás da KelpDAO leva LayerZero à Justiça canadense por ataque de US$ 292 milhões

Uma disputa judicial no Canadá opõe agora duas empresas conhecidas do ecossistema de finanças descentralizadas. A Evercrest Technologies, desenvolvedora da KelpDAO, entrou com uma ação civil contra a LayerZero Labs Ltd., a LayerZero Labs Canada Inc. e o cofundador Bryan Pellegrino na Suprema Corte da Colúmbia Britânica, segundo o Decrypt. O processo foi apresentado na quarta-feira e cita Pellegrino pessoalmente por publicações feitas no Telegram e no X.

A Evercrest acusa os réus de declarações falsas por negligência, negligência e difamação, e pede indenizações agravadas e punitivas. O pano de fundo é o ataque de abril de 2026, que drenou US$ 292 milhões do protocolo de restaking da KelpDAO, serviço que permite reutilizar ether em staking para obter rendimentos adicionais.

Segundo a petição, o ataque começou em 6 de março de 2026, quando o invasor instalou um programa malicioso no computador de um desenvolvedor da LayerZero. Depois, manipulou os nós da LayerZero para enviar leituras falsas ao seu verificador. Em 18 de abril, desativou nós de terceiros que o verificador também consultava. Com isso, o sistema recebeu a confirmação falsa de que 116.500 rsETH haviam sido bloqueados na rede Unichain, quando nada tinha sido travado. Como bastava um verificador para aprovar as operações, tokens sem lastro foram emitidos. A Evercrest afirma ter pausado as pontes em cerca de uma hora e bloqueado uma segunda tentativa.

O centro da disputa é a configuração das pontes, chamada de 1 de 1, em que a rede de verificação da própria LayerZero era a única responsável por confirmar que tokens estavam travados em uma blockchain antes de cópias equivalentes serem criadas em outra. A Evercrest alega ter recebido aval por escrito da LayerZero para essa estrutura. Em fevereiro de 2024, a LayerZero teria dito que o código era "bom" e que não havia problema em usar a configuração padrão. Em março daquele ano, teria orientado explicitamente o uso do modelo 1 de 1. Em janeiro de 2025, teria afirmado que, mesmo com um verificador comprometido, o pior cenário seria a falha na verificação de uma mensagem.

A ação também aponta tratamento desigual. Segundo a Evercrest, a LayerZero alertou outro desenvolvedor, o USDT0, sobre os riscos da configuração padrão entre o fim de 2024 e o início de 2025, o que levou esse projeto a operar sua própria rede de verificadores. A KelpDAO diz não ter recebido aviso semelhante.

Quanto à difamação, a empresa contesta declarações feitas após o ataque. A LayerZero afirmou que o modelo com um único verificador contrariava a estrutura com múltiplos verificadores que ela sempre teria recomendado, e Pellegrino escreveu que ninguém deveria depender de um verificador único. Dias depois, porém, a LayerZero teria admitido que errou ao permitir que seu verificador atuasse sozinho em transações de alto valor.

Entre os prejuízos cobrados estão uma contribuição de 2.000 ETH para recompor o lastro do rsETH, mais de US$ 650 milhões retirados do protocolo desde o ataque e perdas ligadas à queda do token KERNEL. Pellegrino respondeu no X que a ação segue sem fundamento e que vai se defender no tribunal em Vancouver. Nenhuma das alegações foi analisada pela Justiça até agora.