KelpDAO-Entwickler verklagt LayerZero wegen 292-Million-Dollar-Bridge-Exploit – Decrypt
Wichtige Erkenntnisse
- •Evercrest Technologies hat beim Supreme Court of British Columbia eine Zivilklageschrift eingereicht, in der LayerZero Labs Ltd., LayerZero Labs Canada Inc. und CEO Bryan Pellegrino persönlich genannt werden; vorgebracht werden fahrlässige Falschdarstellung, Fahrlässigkeit und Verleumdung, gefordert werden erhöhter und Strafschadensersatz.
- •Die Klage behauptet, LayerZero habe den Code-Entwurf von KelpDAO im Februar 2024 als gut bezeichnet und im März 2024 ausdrücklich ein 1-of-1-Verifier-Setup angewiesen, später jedoch öffentlich erklärt, stattdessen durchgängig ein Multi-Verifier-Modell empfohlen zu haben.
- •Laut Klageschrift begann der Angriff mit Malware auf dem Computer eines LayerZero-Entwicklers, die es dem Angreifer ermöglichte, Verifier-Daten zu manipulieren und am 18. April 116.500 ungedeckte rsETH zu minten; Evercrest pausierte die Bridges jedoch innerhalb von etwa einer Stunde.
- •Evercrest führt an, LayerZero habe einen anderen Entwickler, USDT0, über Risiken in Standard-Verifier-Konfigurationen gewarnt, KelpDAO jedoch keine vergleichbare Warnung gegeben, und LayerZero habe später einen Fehler eingeräumt, indem es seinen Verifier als einzige Prüfung für Transaktionen mit hohem Wert zugelassen habe.
- •Die geltend gemachten Schäden umfassen eine Einzahlung von 2.000 ETH zur Wiederherstellung der rsETH-Deckung, seit dem Exploit abgezogene Mittel von mehr als 650 Millionen US-Dollar sowie einen Kursverfall des KERNEL-Tokens, der Warnungen von Aufsichtsbehörden und Börsen auslöste.
Evercrest Technologies, das Unternehmen hinter dem Restaking-Protokoll KelpDAO, hat Zivilklage gegen LayerZero, dessen kanadische Tochtergesellschaft und den LayerZero-Mitgründer und CEO Bryan Pellegrino eingereicht – wegen des April-Exploits, bei dem 292 Millionen US-Dollar aus dem Protokoll abgeflossen sind. Dabei wird behauptet, LayerZero habe schriftlich diejenige Bridge-Konfiguration gebilligt, die es später für den Verlust verantwortlich machte.
Die Zivilklageschrift – das Dokument, mit dem ein Zivilverfahren in der Provinz eingeleitet wird – wurde am Mittwoch beim Supreme Court of British Columbia eingereicht und nennt LayerZero Labs Ltd., LayerZero Labs Canada Inc. und Pellegrino, der persönlich wegen Beiträgen auf Telegram und X verklagt wird. Sie trägt vor auf fahrlässige Falschdarstellung, Fahrlässigkeit und Verleumdung und fordert erhöhten und Strafschadensersatz. Das Unternehmen kündigte die Klage auf X an:
— Kelp (@KelpDAO) September 25, 2026
Der Streit berührt eine breitere Frage der Cross-Chain-Infrastruktur: Wo liegt die Verantwortung, wenn die Verifier-Konuration einer Bridge von der Messaging-Schicht festgelegt wird, auf der sie aufbaut, und sich genau diese Konfiguration als die Schwachstelle erweist, die ein Angreifer ausnutzt?
Im Mittelpunkt des Streits steht die Sicherheitskonfiguration der Cross-Chain-Bridges von KelpDAO. Die Bridges liefen mit einer 1-of-1-Konfiguration, das heißt, das eigene Verifier-Netzwerk von LayerZero war die einzige Instanz, die bestätigte, dass Token auf einer Chain gesperrt worden waren, bevor äquivalente Token auf einer anderen gemintet wurden. Evercrest sagt, diese Konfiguration sei auf Anweisung von LayerZero erfolgt. Nach der Klageschrift teilte LayerZero dem Unternehmen im Februar 2024 mit, sein Code-Entwurf sei „good“ und es gebe „[n]o problem“ bei der Verwendung der Standardkonfiguration, und wies es im März 2024 ausdrücklich an, ein 1-of-1-Setup mit dem eigenen Verifier von LayerZero zu verwenden. Im Januar 2025, so die Klageschrift weiter, sagte LayerZero, selbst wenn ein Verifier kompromittiert würde, könne er höchstens eine Nachricht fehlerhaft verifizieren.
Die Klageschrift stellt außerdem fest, dass LayerZero einen anderen Entwickler, USDT0, Ende 2024 oder Anfang 2025 über Risiken in dessen Standard-Verifier-Konfigurationen gewarnt hatte, woraufhin dieser Entwickler einen eigenen Verifier betrieb. Evercrest sagt, es habe keine vergleichbare Warnung erhalten.
Der in der Klage beschriebene Angriff begann laut Darstellung innerhalb von LayerZero selbst, sechs Wochen bevor sich Gelder bewegten. Ein Angreifer brachte am 6. März Malware auf dem Computer eines LayerZero-Entwicklers an und manipulierte anschließend die Nodes von LayerZero, sodass sie falsche Daten an den Verifier lieferten. Am 18. April deaktivierte der Angreifer die Drittanbieter-Nodes, auf die der Verifier ebenfalls angewiesen war, sodass diesem gemeldet wurde, 116.500 rsETH seien auf Unichain gesperrt worden – obwohl nichts dergleichen geschehen war. Da nur ein Verifier erforderlich war, wurden die Token ungedeckt gemintet. Evercrest sagt, es habe die Bridges innerhalb von etwa einer Stunde pausiert und einen zweiten Angriffsversuch blockiert.
Die Verleumdungsklagen drehen sich um das, was danach kam. Die Zwischenfall-Erklärung von LayerZero sagte, das Single-Verifier-Setup widerspreche einem Multi-DVN-Modell – Kurzform für ein dezentrales Verifier-Netzwerk –, das es „consistently recommended to all integration partners“ habe, und Pellegrino schrieb, „[n]obody should be relying on sole DVN.“ Wenige Tage später, so die Klageschrift, räumte LayerZero ein, es habe „made a mistake by allowing [its] DVN to act as a 1-of-1 DVN for high-value transactions.“
Evercrest fordert Schadensersatz, darunter eine Einzahlung von 2.000 ETH zur Wiederherstellung der Deckung von rsETH, seit dem Exploit abgezogene Mittel von mehr als 650 Millionen US-Dollar sowie einen Kursverfall des KERNEL-Tokens, der Warnungen von Aufsichtsbehörden und Börsen auslöste.
In einem Beitrag auf X sagte Pellegrino die Klage „continues to be meritless“, und er werde Evercrest zur Verteidigung in Vancouver treffen.
Keine der Behauptungen ist bisher gerichtlich geprüft, und auf die Klage wurde noch nicht reagiert. Eine Antwort wird dem Gericht, sobald sie vorliegt, die Sichtweise der Beklagten zu denselben Ereignissen schildern.
