قمت Evercrest Technologies، الشركة الأم لـ KelpDAO، برفع دعوى ضد LayerZero Labs ومؤسس مشارك بسبب اختراق 18 أبريل الذي أفقد 116,500 rsETH، أي نحو 292 مليون دولار، زاعمة أن تكوين المصادق الوحيد للجسر قد تمت مراجعته والموافقة عليه كتابياً. وهي المرة الأولى التي تأخذ فيها بروتوكول DeFi مزود البنية التحتية الخاص به إلى المحكمة، مما يضع أقدم شعار في القطاع تحت المحاكمة.
دعوى المسؤولية بقيمة 292 مليون دولار لجسر DeFi قتلت مبدأ "الكود هو القانون"
أبرز النقاط
- رفعت شركة KelpDAO الأم، Evercrest Technologies، دعوى قضائية ضد LayerZero Labs والمؤسس المشارك Bryan Pellegrino بسبب اختراق 18 أبريل الذي أفقد 116,500 rsETH، أي ما يعادل حوالي 292 مليون دولار، وهو أكبر اختراق لـ DeFi في عام 2026.
- تدور الدعوى حول إعداد مدقق واحد فقط (1-of-1) الذي زُعم أن LayerZero "راجع وأيده كتابيًا"، ثم نسبت علنًا إلى تكوين Kelp الخاص بها.
- هذه هي المرة الأولى التي تأخذ فيها بروتوكول DeFi مزود البنية التحتية الخاص به إلى المحكمة، وهو تحدٍ مباشر لمبدأ "الكود هو القانون".
- يرتبط المهاجم بمجموعة Lazarus التابعة لكوريا الشمالية، لكن النزاع القانوني يدور بين شركتين عملتين مشفرة solventيتين حول من يملك الحلقة الضعيفة.
رسالة مزورة، 292 مليون دولار، كتلة واحدة
في 18 أبريل 2026، أقنعت رسالة مزيفة واحدة جسراً متعدد السلاسل بإطلاق 116,500 rsETH، بقيمة حوالي 292 مليون دولار، في كتلة واحدة. لم تُسرق أي مفتاح خاص ولم يحدث خلل في العقد الذكي. نفذ الكود بالضبط ما طُلب منه؛ كان مجرد كذبة. انخفض رصيد جسرك Kelp من 116,723 rsETH إلى 223 rsETH في تلك الكتلة، مما يعني أن حوالي 18 بالمائة من المعروض المتداول من rsETH غادر الجسر.
في 24 سبتمبر، قدمت شركة Evercrest Technologies، الشركة الأم لـ KelpDAO، دعوى مدنية ضد LayerZero Labs والمؤسس المشارك براين بييلجرينو في المحكمة العليا في كولومبيا البريطانية. في تقديم واحد، حصلت أقدم شعار في DeFi على موعد في المحكمة.
ماذا يعني "الكود هو القانون" عندما يكون الكود خاطئاً؟
كان مبدأ "الكود هو القانون" الفكرة التأسيسية للعملات المشفرة منذ عقد من الزمان: لا وسطاء، ولا محاكم، ولا أخطاء بشرية، بل الرياضيات فقط. يُفترض أن تكون الجسور عبر السلاسل التعبير الأصفى عن هذه الفكرة. قفل رمز مميز على سلسلة واحدة، وطباعة مكافئ له على سلسلة أخرى، والسماح للتحققين بدلاً من الأشخاص بإنفاذ القواعد. كانت عبارة "بدون ثقة" دائماً نصف حقيقة، لأن هناك من يجب أن يشغل المُتحقق الذي يتأكد من حرق الرموز المميزة فعلياً قبل إطلاق كمية مكافئة في مكان آخر.
في حالة Kelp، كان هذا الشخص LayerZero، وتحديداً شبكة مُتحقق لامركزية من نوع DVN بنسبة 1 من 1. وبشكل عملي، وقف مُتحقق واحد بين رسالة واردة وإطلاق 292 مليون دولار. لم يكن هناك رأي ثانٍ ولا تحقق متقاطع. هذه النقطة الوحيدة للثقة هي القصة بأكملها: الهجوم لم يكسر الجسر، بل سمّم المستشعر الوحيد الذي اعتمد عليه الجسر.
من يفوز ومن يخسر عندما يفشل الجسر؟
الفائزون سهل التسمية. المحاكم والمستشارون الخارجيون، أولاً. اكتسب CCIP الخاص بـ Chainlink، البديل الذي انتقل إليه Kelp في مايو، ظهوراً لم تشتريه ميزانيات الإعلان نادراً: نقل Solv Protocol حوالي 700 مليون دولار من SolvBTC بعيداً عن LayerZero، وتبعه Lombard، مع 2.1 مليار دولار من القيمة الإجمالية المقفلة. شركات التأمين والتدقيق تجتذب أعمالاً جديدة بعد كل خسارة رئيسية. أصبحت كل البروتوكولات التي تعمل بالفعل مع redundancy متعدد المُتحققين أكثر جاذبية بالمقارنة.
الخاسرون واضحون أيضاً. تضررت سمعة LayerZero بالضربة المباشرة، وتحمل Aave ديوناً سيئة تقدر بـ 123.7 مليون دولار إلى 230.1 مليون دولار بعد أن أودع المهاجم rsETH مزيفاً واستعار أصولاً حقيقية مقابلها. الخسارة الصامتة هي الموقف الحازم بعدم الرجوع، الحجة القائلة بأن خسائر DeFi نهائية ولا يدين أحد لأحد. أظهرت شركة عملات مشفرة الآن أن حتى المهندسين في الصناعة أنفسهم لا يقبلون هذا الإطار.
قد يكون التأثير من الدرجة الثانية أكثر أهمية من أي من هذا. عبارة "تمت مراجعتها والموافقة عليها خطياً" أصبحت الآن أداة قانونية. الوثائق، وسجلات الدردشة الداخلية والرسائل المباشرة من مزودي البنية التحتية هي أدلة محتملة للكشف. سيكون موجة من إعادة صياغة شروط الخدمة عبر صناعة الجسور عبر السلاسل خلال اثني عشر شهراً نتيجة غير مستغربة.
هل حدث هذا من قبل؟
ليس بهذه الصورة. في عام 2022، خسرت Wormhole 325 مليون دولار، وقامت Jump Crypto بتعويض المستخدمين خلال أيام، دون وجود محكمة أو لعبة إلقاء اللوم. في عام 2023، خسرت Multichain ما يقرب من 1.5 مليار دولار، وتم اعتقال رئيسها التنفيذي في الصين، وظلت الأموال مجمدة دون وجود طرف آخر للمقاضاة. في عام 2022، خسرت Ronin 625 مليون دولار وتم حل المشكلة من خلال ضمانات منسقة. كانت خطة عمل DeFi ثنائية: إنقاذ هادئ أو انهيار صاخب. لم يكن هناك خيار ثالث.
تقدم Kelp ادعاءً يقدم خياراً جديداً. تطرح شركتان كريبتو solventان أمام المحكمة لتحديد من يملك الرابط الضعيف: البروتوكول الذي نشر الجسر، أم مزود البنية التحتية الذي وقّع مدقق واحد على رسالة مزيفة. في البداية، قالت LayerZero إن بروتوكولها "عمل تماماً كما هو مقصود" وأن المستخدمين لا ينبغي أن يعتمدوا على مدقق وحيد (DVN)، ثم اعترفت لاحقاً بأنها "ارتكبت خطأً بالسماح لـ DVN الخاص بها بالعمل كـ DVN وحيد (1-of-1) للمعاملات عالية القيمة." تذكر Kelp أن LayerZero حذرت مطوراً منفصلاً، USDT0، من مخاطر المدققين في أواخر عام 2024 أو أوائل عام 2025، لكنها لم تنقل التحذير نفسه إلى Kelp. هذا عدم التماثل هو ما توجد المحاكمات لفحصه.
إلى أين تتجه مسؤولية الجسور في غضون عام إلى ثلاث سنوات؟
توقع أن تصبح "بنية المساءلة" فئة منتجات: أطر قانونية، كيانات قانونية لـ DAO، تأمين على السلسلة، وبنود مسؤولية صريحة مكتوبة في اتفاقيات التكامل. ينضم سؤال "من يراجع جسرَك؟" إلى سؤال "من يراجع كودَك؟" في قوائم التدقيق المؤسسي. الافتراض بأن مشغل الجسر يُعفى من المسؤولية بمجرد انتهاء المعاملة.
قوة ثانية تعمل بالتوازي. في نفس الأسبوع الذي قدمت فيه Kelp دعواها، رفعت نيويورك دعوى ضد Polymarket بشأن المقامرة، وهو تذكير بأن النزاعات بين الولايات والصناعة تتسارع في مسارها الخاص. ستنظر الجهات التنظيمية في الدعاوى القضائية بين الكريبتو والكريبتو كخارطة طريق: حيث لا تستطيع الصناعة الاتفاق على المسؤولية، تملأ المحاكم والوكالات الفراغ. عصر تسوية هذه الأمور بشكل خاص ينتهي لأن الخسائر أصبحت كبيرة جداً والأطراف المعنية أصبحت كبيرة بما يكفي للطعن فيها.
ما يجب أن يستخلصه المشاركون في السوق من هذا
هذه ليست قصة أسعار، ولا ينبغي قراءتها على هذا النحو. إنها تغير طريقة تقييم المخاطر. أولاً، تستحق نقاط الفشل الفردية إعادة تقييم: تظل رأس المال تهاجر نحو الإعدادات متعددة المصادقين ومتعددي الموردين، بينما لا تزال البروتوكولات التي تشغل مدققاً وحيداً (DVN) تحمل خصماً لم تسعره السوق بالكامل بعد. ثانياً، أصبحت التأييدات المكتوبة تتصرف كالتزامات محتملة؛ إذا أيّد مزود البنية التحتية تكويناً معيناً، فإن هذا التأييد يصبح مطالبة محتملة ضده. ثالثاً، النسب في هذه الحالة، الهندسة الاجتماعية لمطور LayerZero تليها تسميم بنية RPC الخاصة به من قبل مجموعة مرتبطة بـ Lazarus والمعروفة باسم TraderTraitor، تصف فئة هجمات متكررة وممولة جيداً بدلاً من حادث منعزل. أصبح التمويل اللامركزي (DeFi) الواعي بالعقوبات ومتوافق معها ميزة تنافسية حقيقية بدلاً من مصطلح تسويقي.
الدروس الأعمق هي أن الاستغلال لم يكن اختراقاً للمفاتيح. كان تسميماً للبنية التحتية، وهو فئة هجمات لا تكشفها مراجعة العقود الذكية. الأطروحة الأمنية التي تبدأ وتنتهي بالعقود المدققة تفحص الطبقة الخاطئة.
السؤال الذي لا يريد أحد الإجابة عليه
التفصيل الأكثر دلالة ليس هو 292 مليون دولار. بل هو أن فريقين في مجال العملات المشفرة، وكلاهما ينادي بالثقة في الكود، يطلبان الآن من المحكمة أن تقرر من وثق بمن. عندما يرفض صانعو DeFi أنفسهم قبول "الكود هو القانون" كإجابة، فلا ينبغي لبقية السوق أن يفعلوا ذلك أيضاً. لم يكن السؤال الحقيقي أبداً عما إذا كانت العملات المشفرة ستطور المساءلة، بل من يكتبها: محكمة، أو DAO التي كان من المفترض أن تحل محل واحدة.
FAQ
ماذا حدث في استغلال KelpDAO؟ في 18 أبريل 2026، قام المهاجمون بإدخال رسالة مزيفة إلى المدقق الوحيد الذي يحمي جسر Kelp على LayerZero، مما تسبب في إصدار 116,500 rsETH، أي حوالي 292 مليون دولار، دون حرق مقابل على السلسلة المصدر. انخفض رصيد جسر Kelp من 116,723 rsETH إلى 223 rsETH في كتلة واحدة.
لماذا ترفع KelpDAO دعوى قضائية ضد LayerZero؟ تدعي Kelp أن LayerZero "راجع وأيد كتابيًا" إعداد المصادق الضعيف 1-of-1، ثم ألقت باللوم علنًا على تكوين Kelp بعد الخسارة، وأن LayerZero حذّر مطورًا آخر من مخاطر المصادق لكنه لم يحذر Kelp. يطالب الادعاء بالتعويض عن التصريح الخاطئ غير المتعمد، والإهمال، والقذف.
هل يعني "الكود هو القانون" أن لا أحد مسؤول؟ في الممارسة العملية، لا. كان يعني بشكل عام أنه عندما يفشل الكود، يتحمل المستخدم الخسارة. تُظهر هذه الدعوى القضائية أن حتى بناة الصناعة أنفسهم يتوقعون الآن سبل الانتصاف: محكمة تقرر من كان يمتلك الحلقة الضعيفة عندما فعل الكود ما طُلب منه لكنه كُذّب.
من يُعتقد أنه سرق الأموال؟ عزت تقرير حادثة LayerZero، مستشهدًا بـ Mandiant و CrowdStrike، الاختراق إلى TraderTraitor، المعروف أيضًا بـ UNC4899، وهي مجموعة مرتبطة بمجموعة Lazarus التابعة لكوريا الشمالية. تؤدي آثار الأموال إلى فاعل من الدولة، بينما تبقى النزاع القضائي بين Kelp و LayerZero.
ماذا يعني هذا للجسور الأخرى؟ توقع استمرار هروب رؤوس الأموال نحو إعدادات متعددة المصادقين ومتعددة المزودين مثل Chainlink CCIP، وتوقع من مزودي البنية التحتية مراجعة شروط الخدمة والإخلاءات. "من يصادق على جسر؟" أصبحت الآن سؤالًا للامتثال الواجب بدلاً من كونه تفكيرًا لاحقًا.