KelpDAO подала иск против LayerZero и её сооснователя и генерального директора Брайана Пеллегрино в связи с апрельским эксплойтом, в результате которого было похищено 116 500 rsETH на сумму около $292 миллиона.

Этот судебный иск переводит спор, который ранее велся в формате технических отчетов и публичных заявлений, в зал суда. KelpDAO утверждает, что LayerZero не раскрыла важные уязвимости и риски в своей технологии и не обеспечила надлежащую защиту инфраструктуры, используемой её системой верификации. Эти обвинения не были подтверждены в суде

KelpDAO переносит спор с LayerZero в суд

KelpDAO объявила об иске 25 сентября, спустя несколько месяцев после апрельского эксплойта, заявив, что стремится привлечь LayerZero и Пеллегрино к ответственности за убытки и ущерб, которые протокол связывает с эксплойтом.

— Kelp (@KelpDAO) September 25, 2026

Пост был опубликован KelpDAO в X: https://x.com/KelpDAO/status/2103332910128599327?ref_src=twsrc%5Etfw

Пеллегрино назвал иск необоснованным и заявил о намерении оспаривать его в Ванкувере. Суть спора заключается в различных версиях сторон о том, как мост оказался уязвимым и кто несет ответственность за условия, позволившие атаку.

Эксплойт с rsETH на $292 миллиона

Злоумышленник похитил 116 500 rsETH, общая стоимость которых на момент инцидента составляла около $292 миллиона. Согласно расследованию LayerZero, злоумышленник сначала использовал социальную инженерию, чтобы получить доступ через разработчика LayerZero, а затем проник в систему удаленного вызова процедур (RPC) компании.

Скомпрометированная инфраструктура предоставляла поддельные данные блокчейна системе верификации LayerZero. Эти данные позволили некорректному межсетевому сообщению получить валидное подтверждение. В итоге ложное сообщение привело к выпуску rsETH без соответствующего сжигания токенов в исходной цепочке. При таком механизме работы моста выпуски в одной цепочке должны быть сопряжены со сжиганием в другой, что поддерживает соответствие объема мостового актива между цепочками.

Chainalysis установила, что злоумышленники не использовали известныеязвимости в смарт-контрактах KelpDAO.

Почему конфигурация 1-of-1 DVN играет ключевую роль

LayerZero утверждает, что мост rsETH KelpDAO был подключен к децентрализованной сети верификаторов (DVN) с конфигурацией 1-of-1, где LayerZero Labs выступала единственным верификатором, то есть одного подтверждения было достаточно, чтобы межсетевое сообщение считалось валидным. LayerZero заявила, что такая конфигурация создала единую точку отказа: если верификатор скомпрометирован, независимого верификатора для отклонения подделанного сообщения не было.

LayerZero также сообщила, что рекомендовала использовать несколько DVN для избыточности. KelpDAO оспаривает эту версию, утверждая, что LayerZero проверила и письменно одобрила развертывание и конфигурацию моста. Это утверждение теперь является частью судебного разбирательства.

KelpDAO переводит rsETH с LayerZero

После эксплойта KelpDAO сосредоточилась на межсетевой безопасности своей системы. Протокол начал перевод моста rsETH с инфраструктуры LayerZero на Chainlink CCIP — протокол межсетевой совместимости от Chainlink.

LayerZero также отреагировала на инцидент, отказавшись от поддержки конфигураций 1-of-1 DVN для скомпрометированных приложений и укрепив инфраструктуру, связанную с атакой.

Иск подвергает технические разногласия судебной проверке. Среди ключевых вопросов — ответственность за скомпрометированную инфраструктуру, конфигурация моста и предупреждения о безопасности, предоставленные до эксплойта на $292 миллиона. Спор показывает, что межсетевые мосты зависят как от инфраструктуры обмена сообщениями под ними, так и от конфигураций, выбранных использующими их приложениями.

Источник: CryptoNinjas