Kelp DAO pozwało LayerZero i jego współzałożyciela Bryana Pellegrino, obarczając protokół międzyłańcuchowy winą za kwietniowy exploit mostu rsETH, w wyniku którego skradziono 292 mln dolarów.
Protokół restakingowy twierdzi, że LayerZero ukrywało wady własnej technologii. Zarzuca też LayerZero, że nie powstrzymało napastników przed włamaniem się do jego systemów bezpieczeństwa.
Exploit rsETH o wartości 292 mln dolarów
18 kwietnia napastnicy wyprowadzili z mostu LayerZero około 116 500 rsETH — tokenów płynnego restakingu Kelp DAO. Kradzież była największym exploitem w DeFi w 2026 roku. LayerZero później powiązało atak z podgrupą Lazarus o nazwie TraderTraitor.
LayerZero poinformowało, że napastnicy przejęli wystarczającą liczbę węzłów zdalnego wywoływania procedur (RPC), by przekazać weryfikatorowi mostu fałszywe dane. Serwery te przekazują aplikacjom dane z blockchaina.
W rezultacie weryfikator zatwierdził spalenie rsETH, do którego nigdy nie doszło. Kontrakt Ethereum uwolnił następnie środki na tej podstawie.
LayerZero wskazało jednak na konfigurację Kelp. Most korzystał z pojedynczego weryfikatora obsługiwanego przez LayerZero Labs — była to konfiguracja 1 z 1.
Skutki szybko się rozprzestrzeniły. W ciągu dwóch dni całkowita wartość zablokowana (TVL) w Aave spadła o 8,45 mld dolarów, a TVL w DeFi szeroko zmniejszyła się na głównych łańcuchach.
Kelp DAO pozywa LayerZero po miesiącach wzajemnych oskarżeń
Kelp twierdzi teraz, że LayerZero i Pellegrino przez miesiące publicznie obwiniali ten protokół. Zespół utrzymuje natomiast, że LayerZero sprawdziło i pisemnie zaakceptowało jego wdrożenie oraz konfigurację.
Protokół opublikował pozew i chce pociągnąć LayerZero oraz Pellegrino do odpowiedzialności za szkody wyrządzone Kelp i całemu ekosystemowi DeFi.
Zespół dodaje, że bezpieczeństwo użytkowników pozostaje jego najwyższym priorytetem. Od czasu ataku Kelp informuje, że przenosi most rsETH na bezpieczniejszy standard komunikacji między łańcuchami. Protokół wcześniej wskazał Chainlink CCIP jako zamiennik — konkurencyjny system przesyłania wiadomości między łańcuchami.
Tymczasem odzyskanie skradzionych środków również trafiło do sądu. W maju sąd w USA wydał nakaz blokujący Arbitrum DAO możliwość przeniesienia 30 766 ETH zamrożonych przez DAO i pochodzących od hakera.
Kelp zapowiada, że z niecierpliwością czeka na rozprawę. Wnosząc pozew przeciwko LayerZero, Kelp DAO może więc sprawić, że sprawa stanie się wczesnym testem tego, w jakim stopniu dostawcy infrastruktury ponoszą odpowiedzialność za exploity w wdrożeniach klientów.
Źródło: BeInCrypto
