Kelp DAO pozywa LayerZero po hacku rsETH na 292 mln $
Kelp twierdzi, że LayerZero zatwierdziło konstrukcję bridge’a, podczas gdy atak przebiegł przez weryfikator 1-of-1. Sprawa stawia w centrum uwagi bezpieczeństwo cross-chain i odpowiedzialność w DeFi.
Najważniejsze informacje
- Kelp DAO pozwało LayerZero i współzałożyciela Bryana Pellegrino po hacku, w którym w kwietniu skradziono około 292 mln $ w rsETH.
- Według Kelp LayerZero ukrywało wady swojej technologii i nie zrobiło wystarczająco dużo, by zatrzymać atak przez bridge.
- Sprawa dotyczy konfiguracji bridge’a 1-of-1 i może mieć konsekwencje dla odpowiedzialności w szerszym sektorze DeFi.
Kelp DAO pozwało LayerZero i współzałożyciela Bryana Pellegrino po hacku, w którym w kwietniu skradziono około 292 mln $ (257 mln €) w rsETH. Strona protokołu restakingowego twierdzi, że LayerZero ukrywało wady własnej technologii i nie zrobiło wystarczająco dużo, by powstrzymać atak.
Jak przebiegał hack
18 kwietnia napastnicy wyprowadzili około 116 500 rsETH przez bridge LayerZero należący do Kelp DAO. Według pozwu był to tym samym największy hack DeFi w 2026 roku. LayerZero później powiązało atak z podgrupą Lazarus o nazwie TraderTraitor.
LayerZero stwierdziło, że napastnicy przejęli wystarczającą liczbę węzłów remote procedure call, czyli RPC, aby przesłać fałszywe dane do weryfikatora bridge’a. Te serwery przekazują dane blockchainowe do aplikacji. W efekcie weryfikator zatwierdził spalanie rsETH, które nigdy nie miało miejsca, po czym kontrakt Ethereum uwolnił środki.
LayerZero wskazało jednak na konstrukcję Kelp. Bridge działał z jednym weryfikatorem LayerZero Labs, czyli w konfiguracji 1-of-1. To od razu rozszerzyło dyskusję o bezpieczeństwie infrastruktury cross-chain poza sam ten jeden atak.
Kelp przerzuca winę z powrotem
Kelp twierdzi teraz, że LayerZero i Pellegrino przez wiele miesięcy publicznie obwiniali protokół. Według Kelp LayerZero wcześniej pisemnie oceniło i zatwierdziło wdrożenie oraz konfigurację. Protokół opublikował sam pozew i chce, by LayerZero oraz Pellegrino zostali pociągnięci do odpowiedzialności za szkody wyrządzone Kelp i szerszemu sektorowi DeFi.
Od czasu hacku Kelp twierdzi, że pracuje nad bezpieczniejszym sposobem przenoszenia rsETH między chainami. Wcześniej protokół wskazywał już Chainlink CCIP jako zamiennik, czyli alternatywny system komunikacji cross-chain. W maju amerykański sąd dodatkowo zablokował możliwość przeniesienia przez Arbitrum DAO 30 766 ETH, które zostały zamrożone hackerowi.
Skutki ataku były odczuwalne także gdzie indziej w DeFi: Aave nadal pozostawało bez 8 mld $ depozytów po hacku Kelp, ponieważ exploit z wykorzystaniem niepokrytego rsETH wyrządził tam również szkody.
Dlaczego ma to szersze znaczenie
Sprawa może być istotna dla europejskich obserwatorów rynku krypto, ponieważ bridge’e cross-chain są stałym elementem DeFi, ale też powracającym ryzykiem bezpieczeństwa. Pozew pokazuje, że nie tylko same protokoły, lecz także podmioty stojące za infrastrukturą mogą znaleźć się pod presją prawną, jeśli exploit przejdzie przez ich systemy. To sprawia, że wynik sprawy jest interesujący dla projektów zależnych od podobnej konstrukcji bridge’a.
