KelpDAO heeft LayerZero en zijn medeoprichter en CEO, Bryan Pellegrino, aangeklaagd wegens een exploit in april waarbij 116.500 rsETH ter waarde van ongeveer $292 miljoen werd gestolen.

De rechtszaak brengt een geschil dat eerder via technische rapporten en openbare verklaringen werd uitgevochten naar de rechtbank. KelpDAO stelt dat LayerZero belangrijke kwetsbaarheden en risico’s in zijn technologie niet bekendmaakte en de infrastructuur die door het verificatiesysteem werd gebruikt onvoldoende beveiligde. De beschuldigingen zijn niet door de rechtbank vastgesteld.

KelpDAO brengt geschil met LayerZero voor de rechter

KelpDAO kondigde de rechtszaak op 25 september aan, enkele maanden na de exploit in april. Volgens het protocol is de zaak bedoeld om LayerZero en Pellegrino verantwoordelijk te houden voor de verliezen en schade die KelpDAO aan de exploit toeschrijft.

— Kelp (@KelpDAO) September 25, 2026

Het bericht werd door KelpDAO op X geplaatst: https://x.com/KelpDAO/status/2103332910128599327?ref_src=twsrc%5Etfw

Pellegrino heeft de rechtszaak als lichtvaardig afgedaan en gezegd dat hij de zaak in Vancouver wil aanvechten. Het geschil draait om de verschillende lezingen van de partijen over de manier waarop de bridge kwetsbaar werd en wie verantwoordelijk was voor de omstandigheden die de aanval mogelijk maakten.

De rsETH-exploit van $292 miljoen

Een aanvaller stal 116.500 rsETH, die op het moment van het incident een totale waarde van ongeveer $292 miljoen hadden. Volgens het onderzoek van LayerZero gebruikte de aanvaller eerst social engineering om via een LayerZero-ontwikkelaar toegang te verkrijgen, waarna hij het remote procedure call-systeem (RPC) van het bedrijf binnendrong.

De gecompromitteerde infrastructuur leverde frauduleuze blockchaingegevens aan het verificatiesysteem van LayerZero. Daardoor kon een ongeldig cross-chainbericht een geldige attestatie ontvangen. Het valse bericht leidde uiteindelijk tot de vrijgave van rsETH zonder een overeenkomstige token burn op de bronchain. Bij dit type bridge-mechanisme moeten vrijgaven op de ene chain worden gekoppeld aan burns op een andere chain, zodat de voorraad van het gebridgede activum tussen de chains in evenwicht blijft.

Chainalysis stelde vast dat de aanvallers geen bekende kwetsbaarheden in de smart contracts van KelpDAO hadden misbruikt.

Waarom de 1-of-1-DVN-configuratie centraal staat

Volgens LayerZero was de rsETH-bridge van KelpDAO verbonden met een 1-of-1 Decentralized Verifier Network (DVN), waarbij LayerZero Labs als enige verifier fungeerde. Dat betekende dat één attestatie volstond om een cross-chainbericht als geldig te behandelen. LayerZero stelt dat deze configuratie één kritiek storingspunt creëerde: als de verifier werd gecompromitteerd, was er geen onafhankelijke verifier beschikbaar om het vervalste bericht af te wijzen.

LayerZero heeft ook gezegd dat het het gebruik van meerdere DVN’s voor redundantie had aanbevolen. KelpDAO betwist die lezing en stelt dat LayerZero de uitrol en configuratie van de bridge schriftelijk heeft beoordeeld en goedgekeurd. Die bewering maakt nu deel uit van de rechtszaak.

KelpDAO verplaatst rsETH weg van LayerZero

Na de exploit richtte KelpDAO zich op de cross-chainbeveiliging van zijn systeem. Het protocol zette stappen om de rsETH-bridge weg te halen van de infrastructuur van LayerZero en over te brengen naar Chainlink CCIP, het cross-chaininteroperabiliteitsprotocol van Chainlink.

LayerZero reageerde eveneens door ondersteuning voor 1-of-1-DVN-configuraties bij gecompromitteerde applicaties te verwijderen en de infrastructuur die met de aanval verband hield te versterken.

De rechtszaak legt het technische meningsverschil nu voor aan de rechter. Tot de centrale kwesties behoren de verantwoordelijkheid voor de gecompromitteerde infrastructuur, de configuratie van de bridge en de beveiligingswaarschuwingen die vóór de exploit van $292 miljoen zijn verstrekt. Het geschil laat zien dat cross-chainbridges zowel afhankelijk zijn van de onderliggende berichteninfrastructuur als van de configuraties die worden gekozen door de applicaties die deze gebruiken.

Bron: CryptoNinjas