El desarrollador de KelpDAO demanda a LayerZero por el hackeo de un puente que costó 292 millones de dólares

Evercrest Technologies, la compañía detrás del protocolo de restaking KelpDAO, demandó a LayerZero Labs y a su cofundador Bryan Pellegrino ante la Corte Suprema de Columbia Británica, Canadá. La acusación es contundente: LayerZero habría aprobado por escrito, en repetidas ocasiones, la misma configuración de puente que después señaló como la causa de un exploit que drenó 292 millones de dólares. La demanda, presentada el miércoles, incluye cargos de tergiversación negligente, negligencia y difamación, y abre uno de los litigios más importantes hasta ahora sobre quién responde legalmente cuando falla la infraestructura que conecta distintas blockchains.

Un único punto de falla

El caso gira en torno al funcionamiento de la red de verificadores de LayerZero, conocida como DVN (Decentralized Verifier Network). En teoría, estos verificadores confirman que los tokens quedaron bloqueados en una cadena antes de que se emita una cantidad equivalente en otra, evitando que un atacante pueda crear activos de la nada. Sin embargo, KelpDAO operaba su puente con una configuración 1 de 1: un solo verificador, en lugar de una red distribuida de controles cruzados. Evercrest sostiene que fue LayerZero quien dirigió y avaló repetidamente ese diseño.

Las consecuencias de esa decisión salieron a la luz en abril de 2026. Según los hechos descritos en la demanda, un atacante instaló malware el 6 de marzo y ejecutó el ataque el 18 de abril, reportando falsamente que 116,500 tokens rsETH habían sido bloqueados en la red Unichain. Al no existir un segundo verificador que detectara la inconsistencia, el reporte fraudulento pasó sin objeciones y el atacante logró retirar 292 millones de dólares del protocolo de restaking de KelpDAO. Los puentes se pausaron aproximadamente una hora después de detectarse el exploit, y el equipo del protocolo aportó después 2,000 ETH en un intento por restaurar el respaldo de rsETH. De acuerdo con el reporte de Decrypt, desde el ataque se han retirado más de 650 millones de dólares del protocolo, una cifra que refleja cuánto se erosionó la confianza de los usuarios incluso después de las medidas de emergencia.

Quién le dijo qué a quién

Lo inusual de este conflicto es el rastro documental que Evercrest asegura tener. La demanda alega que LayerZero no solo aprobó la configuración de un solo verificador, sino que lo hizo por escrito, lo que debilitaría cualquier argumento de que se trató de un atajo tomado unilateralmente por KelpDAO. Para sumar tensión al caso, otro proyecto que también construye sobre la infraestructura de LayerZero, USDT0, habría sido advertido sobre los riesgos de esa misma configuración 1 de 1 y optó por implementar su propio verificador independiente, una decisión que, en retrospectiva, resultó acertada.

LayerZero reconoció posteriormente, en declaraciones públicas, que había recomendado un modelo de múltiples verificadores a todos sus socios y admitió que permitir una configuración de un solo verificador para transacciones de alto valor fue un error. Pellegrino, por su parte, calificó la demanda como infundada. Hasta el momento no se ha presentado una respuesta formal ante el tribunal y las acusaciones siguen sin comprobarse; nada en el caso ha sido resuelto judicialmente.

Qué significa esto para la infraestructura DeFi

Más allá de los detalles técnicos de un exploit puntual, la demanda plantea una pregunta que la industria DeFi ha evitado responder: cuando un puente o protocolo de mensajería recomienda una arquitectura de seguridad a un cliente y esa arquitectura falla, ¿quién es responsable, el proyecto que construyó el producto o el proveedor de infraestructura que aprobó su diseño? El modelo de negocio de LayerZero depende de que otros proyectos confíen en sus recomendaciones de verificación. Si un tribunal determina que las aprobaciones por escrito de un proveedor de infraestructura generan responsabilidad legal cuando las cosas salen mal, podría cambiar la manera en que los proveedores de puentes documentan y respaldan sus consejos, lo que eventualmente podría frenar integraciones o empujar a la industria hacia configuraciones más conservadoras con múltiples verificadores por defecto.

Lo que está en juego trasciende este caso particular. Los puentes entre cadenas han sido un blanco recurrente de ataques precisamente porque concentran valor y confianza en unos pocos pasos de verificación, un patrón que también se vio este año en el hackeo a Bitget, cuyas pérdidas escalaron a 387.5 millones de dólares, y en los esfuerzos posteriores de Circle y Tether para congelar la billetera del atacante, que solo lograron recuperar una fracción del botín. A medida que instituciones cada vez más grandes construyen sobre infraestructura tokenizada —como muestran los esfuerzos de BlackRock y Ondo por tokenizar carteras completas—, la solidez de los puentes y las capas de verificación deja de ser un detalle técnico y se convierte en una preocupación sistémica.

Qué observar

Varios factores determinarán el rumbo de este caso y lo que puede significar para la industria en general:

• Si LayerZero presenta una respuesta formal y cómo caracteriza sus comunicaciones escritas con Evercrest
• Documentación adicional que cualquiera de las partes presente sobre las aprobaciones de la configuración del verificador
• Cómo maneja la Corte Suprema de Columbia Británica las cuestiones de jurisdicción y evidencia, dadas las entidades canadienses e internacionales de LayerZero
• Si otros protocolos que usaron configuraciones de un solo verificador enfrentan escrutinio o exigencias de divulgación similares
• La actividad continua de retiros en KelpDAO mientras la confianza de los usuarios se pone a prueba junto con el litigio en curso

Fuente: Decrypt

Este contenido es informativo y no constituye consejo financiero ni de inversión.