KelpDAO demanda a LayerZero por el exploit de rsETH de $292 millones en un caso que podría poner a prueba la responsabilidad de la infraestructura on-chain
Puntos clave
- •Evercrest Technologies, la empresa detrás de KelpDAO, demanda a LayerZero Labs, LayerZero Labs Canada y al cofundador Bryan Pellegrino en Columbia Británica por el exploit de abril de 2026 que drenó 116,500 rsETH valorados en aproximadamente $292 millones.
- •La demanda de Kelp alega negligencia, tergiversación negligente y difamación, afirmando que LayerZero no reveló riesgos de seguridad y que había aprobado la configuración 1-de-1 de la red de verificadores descentralizados del puente antes del ataque.
- •LayerZero sostiene que el exploit se limitó a la configuración de Kelp, señalando que los atacantes comprometieron la infraestructura RPC utilizada por su verificador y provocaron que aprobara un mensaje cross-chain falsificado.
- •Si Kelp triunfa, el caso podría establecer un marco para demandas contra proveedores de infraestructura como puentes, operadores de oráculos, validadores y servicios de custodia cuya tecnología está integrada en aplicaciones on-chain.
- •Actualmente no existe un precedente judicial establecido que responsabilice a un proveedor de infraestructura on-chain por pérdidas derivadas de una integración comprometida, y las acusaciones siguen sin probarse a la espera de la respuesta formal de los demandados y el intercambio de evidencia.
KelpDAO ha llevado a los tribunales su disputa con el proveedor de infraestructura cross-chain LayerZero, abriendo una posible prueba legal significativa sobre la responsabilidad cuando un servicio on-chain es comprometido.
Evercrest Technologies, la entidad detrás de KelpDAO, presentó una demanda civil en la Corte Suprema de Columbia Británica contra LayerZero Labs, LayerZero Labs Canada y el cofundador Bryan Pellegrino. La demanda se origina en el exploit de abril de 2026 que drenó 116,500 rsETH, el token de liquid restaking de Kelp, valorados en aproximadamente $292 millones en su momento, y busca responsabilizar al proveedor de infraestructura por las pérdidas sufridas durante el incidente.
Lo que alega Kelp
Kelp alega negligencia, tergiversación negligente y difamación, argumentando que LayerZero no reveló riesgos de seguridad y que su infraestructura fue comprometida de manera que permitió a los atacantes falsificar un mensaje cross-chain.
Un punto central es la afirmación de Kelp de que LayerZero había revisado y respaldado la configuración 1-de-1 de la red de verificadores descentralizados (DVN) del puente antes del ataque. LayerZero rechaza esa versión. En su informe del incidente, la empresa indicó que el exploit se limitó a la configuración de Kelp porque el puente dependía de un único DVN, creando un solo punto de verificación. Según LayerZero, los atacantes comprometieron la infraestructura RPC utilizada por su DVN y provocaron que aprobara un mensaje falsificado.
Los DVN son los componentes de un sistema de mensajería cross-chain responsables de verificar los mensajes en tránsito; en una configuración 1-de-1, la aprobación de un solo verificador es suficiente, razón por la cual la revisión en disputa está en el centro de las versiones de ambas partes.
Pellegrino calificó la demanda de infundada y dijo que defenderá a LayerZero y a sí mismo en Columbia Británica.
Por qué el caso va más allá de LayerZero
El caso es inusual porque la disputa no es simplemente entre una víctima y un hacker. Kelp busca establecer una posible responsabilidad para un proveedor de infraestructura cuya tecnología fue integrada en una aplicación on-chain.
Esa distinción podría trascender ampliamente a LayerZero. Si Kelp logra demostrar que LayerZero tenía el deber de advertir sobre un riesgo de seguridad conocido, o que sus declaraciones sobre la infraestructura influyeron en la decisión de despliegue de Kelp, el caso podría sentar un precedente para futuras demandas que involucren puentes, proveedores de oráculos, validadores, infraestructura de custodia y otros que se sitúan entre las aplicaciones descentralizadas y la blockchain subyacente.
El panorama legal existente
Ya existe precedente legal que demuestra que llamar "descentralizado" a un sistema no elimina automáticamente la posible responsabilidad legal. En Estados Unidos, los tribunales han permitido que avancen demandas que involucran a desarrolladores y participantes de estructuras DeFi, mientras que una sentencia de 2026 desestimó una demanda colectiva separada contra Uniswap Labs y su CEO (REGULATION | U.S. Court Dismisses Lawsuit Seeking Regulatory Protections for Non-Custodial Software Solutions).
Sin embargo, aún no existe un precedente judicial establecido que holda específicamente responsable a un proveedor de infraestructura on-chain por pérdidas causadas por una integración comprometida. Por lo tanto, el caso de KelpDAO sigue siendo una disputa basada en acusaciones y no una regla legal consolidada.
El caso podría depender finalmente de evidencia fuera de los propios contratos inteligentes, incluidas comunicaciones escritas, recomendaciones de seguridad, declaraciones realizadas durante el proceso de integración y las responsabilidades exactas asumidas por cada parte. Para los proveedores de infraestructura on-chain, eso hace que la demanda sea potencialmente significativa: el código puede ser descentralizado, pero las relaciones contractuales y de asesoría en torno a ese código pueden terminar igualmente en los tribunales.
Al tratarse de una demanda recién presentada, las acusaciones aún no han sido probadas y ningún tribunal se ha pronunciado sobre ellas. Los siguientes pasos procesales —la respuesta formal de los demandados y el intercambio de documentos y evidencia— son donde las comunicaciones y las declaraciones sobre la integración, núcleo de la disputa, cobrarán protagonismo.
Cobertura relacionada
- DeFi | Liquid Restaking Protocol, Kelp DAO, Compromised Loosing ~$300 Million
- CASE STUDY | This Stablecoin Freeze Sets a Legal Precedent for Privacy DeFi
Fuente: BitcoinKE
