リステーキングプロトコルKelpDAOを運営するEvercrest Technologiesは、4月にプロトコルから2億9,200万ドルが流出した侵害事件をめぐり、LayerZero、そのカナダ子会社、LayerZeroの共同創業者兼最高経営責任者(CEO)であるブライアン・ペレグリーノを相手取り民事訴訟を提起した。訴状は、LayerZeroが後に損失の原因であると非難したブリッジ設定そのものを書面で承認していたと主張している。

民事訴訟通知書(同州で民事訴訟を開始する文書)は水曜日にブリティッシュコロンビア州最高裁判所に提出され、LayerZero Labs Ltd.、LayerZero Labs Canada Inc.、およびTelegramとXへの投稿を理由に個人として訴えられているペレグリーノが相手方として名指しされた。訴状は過失による虚偽表示、過失、名誉毀損を主張し、加重損害賠償および懲罰的損害賠償を求めている。同社はXで訴訟を発表した:

— Kelp (@KelpDAO) September 25, 2026

この争いは、クロスチェーンインフラにおけるより広範な問題、すなわち、ブリッジのベリファイア設定がその基盤となるメッセージングレイヤーによって決定され、その設定が攻撃者に利用される弱点となった場合に、責任がどこにあるのかという問題に関わっている。

点の中心にあるのは、KelpDAOのクロスチェーンブリッジのセキュリティ設定だ。ブリッジは1-of-1構成で運用されており、これは、別のチェーンで同等のトークンが鋳造される前に、あるチェーンでトークンがロックされたことを確認する唯一の当事者がLayerZero自身のベリファイアネットワークであったことを意味する。Evercrestは、この設定はLayerZeroの指示によるものだと主張している。訴状によると、LayerZeroは2024年2月に同社に対し、ドラフトコードは「良好」であり、デフォルト設定の使用に「[n]o problem(問題はない)」と伝え、その後2024年3月に、LayerZero自身のベリファイアを用いた1-of-1設定を使用するよう明示的に指示したという。また2025年1月には、仮にベリファイアが侵害されたとしても、最悪の場合でもメッセージの検証に失敗するだけだとLayerZeroは述べたとされる。

訴状はさらに、LayerZeroが2024年末から2025年初めにかけて、別の開発者であるUSDT0に対し、そのデフォルトのベリファイア設定のリスクについて警告し、これを受けてUSDT0が独自のベリファイアを運用するようになったと述べている。Evercrestは、同様の警告を受けなかったとしている。

訴状に描述された攻撃は、資金が動く6週間前、LayerZeroの内部で始まった。攻撃者は3月6日にLayerZeroの開発者のコンピューターにマルウェアを仕掛け、その後LayerZeroのノードを改ざんして、ベリファイアに誤ったデータを送信させた。4月18日、攻撃者はベリファイアが併用していたサードパーティのノードを無効化し、実際には何もロックされていないにもかかわらず、11万6,500 rsETHがUnichain上でロックされたと通知させた。必要なベリファイアが1つのみであったため、トークンは裏付けのないまま鋳造された。Evercrestは、約1時間以内にブリッジを一時停止し、2回目の攻撃も阻止したと述べている。

名誉毀損の主張は、その後に何が起こったかに焦点がある。LayerZeroのインデント声明は、シングルベリファイア設定は、同社が「すべての統合パートナーに一貫して推奨してきた」マルチDVNモデル(分散型ベリファイアネットワークの略称)に反していると述べ、ペレグリーノは「[n]obody should be relying on sole DVN(単一のDVNに依存すべきではない)」と書いた。訴状によると、その数日後、LayerZeroは「高額トランザクションに対して自社のDVNを1-of-1 DVNとして機能させた」のは「過誤だった」と認めたという。

Evercrestが主張する損害には、rsETHの裏付けを回復するために行われた2,000 ETHの拠出、侵害以降に引き出された6億5,000万ドル超の資金、そして規制当局や取引所から警告が発せられたKERNELトークン価格の下落が含まれる。

ペレグリーノはXへの投稿で、この訴訟は「依然として根拠がない」と述べ、自身を弁明するためバンクーバーでEvercrestと対峙する意向を示した。

いずれの主張も法廷で証明されておらず、訴状に対する答弁書はまだ提出されていない。答弁書が提出されれば、被告側から同じ出来事についての主張が法廷に示されることになる。