Evercrest Technologies, Muttergesellschaft von KelpDAO, hat LayerZero Labs und einen Mitgründer wegen des Exploits vom 18. April verklagt, bei dem 116.500 rsETH, rund 292 Millionen USD, abgeflossen sind. Es wird behauptet, die Single-Verifier-Konfiguration der Bridge sei überprüft und schriftlich gebilligt worden. Es ist das erste Mal, dass ein DeFi-Protokoll seinen eigenen Infrastrukturanbieter vor Gericht bringt, und es stellt den ältesten Slogan des Sektors vor Gericht.
Die Klage über die Haftung der DeFi-Bridge in Höhe von 292 Mio. USD hat „Code ist Gesetz“ getötet
Wesentliche Erkenntnisse
- KelpDAOs Muttergesellschaft Evercrest Technologies hat LayerZero Labs und Mitgründer Bryan Pellegrino wegen des Exploits vom 18. April verklagt, bei dem 116.500 rsETH im Wert von rund 292 Millionen US-Dollar abgeflossen sind – der größte DeFi-Exploit des Jahres 2026.
- Der Anspruch basiert auf einer 1-aus-1-Verifier-Konfiguration, die LayerZero angeblich „schriftlich geprüft und gebilligt“ und dann öffentlich Kelps eigener Konfiguration zugeschrieben hat.
- Es ist das erste Mal, dass ein DeFi-Protokoll seinen eigenen Infrastruktur-Anbieter vor Gericht bringt, eine direkte Herausforderung des Prinzips „Code ist Gesetz“.
- Der Angreifer wird mit der nordkoreanischen Lazarus-Gruppe in Verbindung gebracht, doch der Rechtsstreit findet zwischen zwei solventen Krypto-Unternehmen statt, die darüber streiten, wem die schwache Stelle gehörte.
Eine gefälschte Nachricht, 292 Millionen US-Dollar, ein Block
Am 18. April 2026 überzeugte eine einzige gefälschte Nachricht eine Cross-Chain-Brücke, 116.500 rsETH im Wert von etwa 292 Millionen US-Dollar in einem einzigen Block freizugeben. Kein privater Schlüssel wurde gestohlen und kein Smart Contract funktionierte nicht ordnungsgemäß. Der Code tat genau das, was ihm gesagt wurde; er wurde lediglich angelogen. Kelps Brücken-Guthaben fiel in diesem Block von 116.723 rsETH auf 223 rsETH, was bedeutet, dass rund 18 Prozent des umlaufenden rsETH-Angebots die Brücke verließen.
Am 24. September reichte Evercrest Technologies, die Muttergesellschaft von KelpDAO, eine zivilrechtliche Klage gegen LayerZero Labs und Mitbegründer Bryan Pellegrino vor dem Obersten Gerichtshof von British Columbia ein. In einer einzigen Einreichung erhielt der älteste Slogan der DeFi-Branche ein Gerichtsdatum.
Was bedeutet „Code ist Gesetz“, wenn der Code falsch ist?
„Code ist Gesetz“ war seit einem Jahrzehnt die Grundannahme der Krypto-Welt: keine Kontrahenten, keine Gerichte, keine menschlichen Fehler, nur Mathematik. Eine Cross-Chain-Brücke soll der reinste Ausdruck dieser Idee sein. Sperrt man ein Token auf einer Chain, wird ein äquivalentes auf einer anderen gemintet, und Verifizierer statt Menschen setzen die Regeln durch. „Trustless“ (Vertrauenslos) war immer nur eine halbe Wahrheit, denn jemand muss den Verifizierer betreiben, der prüft, ob Token tatsächlich verbrannt wurden, bevor eine äquivalente Menge anderswo freigegeben wird.
Im Fall von Kelp war dieser jemand LayerZero, speziell ein 1-aus-1-Decentralized Verifier Network (DVN). In der Praxis stand ein einziger Verifizierer zwischen einer eingehenden Nachricht und der Freigabe von 292 Millionen US-Dollar. Es gab keine zweite Meinung und keine Querkontrolle. Dieser einzelne Vertrauenspunkt ist die gesamte Geschichte: Der Angriff hat die Brücke nicht kaputtgemacht, er hat den einen Sensor vergiftet, auf den die Brücke vertraute.
Wer gewinnt und wer verliert, wenn eine Brücke ausfällt?
Die Gewinner sind leicht zu nennen. Gerichte und externe Berater, zuerst. Chainlinks CCIP, die Alternative, zu der Kelp im Mai migrierte, erlangte Sichtbarkeit, die Werbekampagnen selten kaufen: Solv Protocol bewegte rund 700 Millionen US-Dollar SolvBTC von LayerZero weg, und Lombard, mit 2,1 Milliarden US-Dollar im Total Value Locked (TVL), folgte. Versicherungs- und Auditfirmen gewinnen nach jedem Schlagzeilenverlust neue Kunden. Jedes Protokoll, das bereits eine Multi-Verifizierer-Redundanz betreibt, wurde im Vergleich attraktiver.
Die Verlierer sind ebenso klar. LayerZero hat einen direkten Schlag auf seinen Ruf abbekommen, und Aave trägt geschätzte schlechte Schulden in Höhe von 123,7 Millionen bis 230,1 Millionen US-Dollar, nachdem der Angreifer gefälschtes rsETH eingezahlt und echte Vermögenswerte dagegen geliehen hat. Die ruhigste Opferrolle nimmt die strikte Position ohne Rückgriff ein, die Argumentation, dass in DeFi-Verluste endgültig sind und niemand jemandem etwas schuldet. Ein Krypto-Unternehmen hat nun gezeigt, dass nicht einmal die eigenen Entwickler der Branche diese Rahmung akzeptieren.
Die sekundären Effekte könnten wichtiger sein als alles andere. Der Satz „geprüft und schriftlich gebilligt“ ist nun ein rechtliches Instrument. Dokumentation, interne Chat-Protokolle und Direktnachrichten von Infrastruktur-Anbietern sind potenzielle Beweismittel im Rahmen der Beweiserhebung. Eine Welle von überarbeiteten Nutzungsbedingungen in der Cross-Chain-Branche innerhalb von zwölf Monaten wäre ein unremarkables Ergebnis.
Ist das schon einmal passiert?
Nicht in dieser Form. 2022 verlor Wormhole 325 Millionen US-Dollar, und Jump Crypto stellte die Nutzer innerhalb von Tagen vollständig wieder her, ohne Gerichtsverfahren und ohne Schuldzuweisungen. 2023 verlor Multichain rund 1,5 Milliarden US-Dollar, sein Chief Executive Officer wurde in China festgenommen, und die Gelder blieben eingefroren, ohne dass ein Kontrahent übrig geblieben wäre, den man verklagen konnte. 2022 verlor Ronin 625 Millionen US-Dollar und wurde durch koordinierte Rückversicherungen gelöst. Das DeFi-Spielbuch war binär: eine stille Bailout oder ein lauter Zusammenbruch. Es gab keine dritte Option.
Kelps Anspruch führt eine dritte Option ein. Zwei solvente Krypto-Unternehmen bitten ein Gericht, zu entscheiden, wem die schwache Stelle gehört: dem Protokoll, das die Bridge bereitgestellt hat, oder dem Infrastruktur-Anbieter, dessen einzelner Verifizierer eine gefälschte Nachricht genehmigt hat. LayerZero sagte zunächst, sein Protokoll habe „genau wie beabsichtigt funktioniert“, und die Nutzer sollten sich nicht auf einen einzigen DVN verlassen, erkannte später jedoch an, dass es „einen Fehler begangen hat, indem es unseren DVN als 1-aus-1-DVN für Transaktionen mit hohem Wert zugelassen hat“. Kelp stellt fest, dass LayerZero einen separaten Entwickler, USDT0, Ende 2024 oder Anfang 2025 vor Verifizierungsrisiken gewarnt hat, diese Warnung jedoch nicht an Kelp weitergegeben hat. Diese Asymmetrie ist es, was die Gerichtsbarkeit zu untersuchen hat.
Wohin entwickelt sich die Bridge-Haftung in ein bis drei Jahren?
Erwarten Sie, dass sich "Accountability-Infrastruktur" zu einer Produktkategorie entwickelt: rechtliche Verpackungen, DAO-Rechtssubjekte, On-Chain-Versicherungen und explizite Haftungsklauseln, die in Integrationsvereinbarungen festgeschrieben sind. Die Frage "Wer überprüft Ihre Bridge?" gesellt sich zu "Wer überprüft Ihren Code?" auf den Checklisten für die Due-Diligence von Institutionen. Die Annahme, dass ein Bridge-Betreiber von der Verantwortung entbunden ist, sobald eine Transaktion abgeschlossen ist, ist falsch.
Eine zweite Kraft läuft parallel. In derselben Woche, in der Kelp Anträge stellte, verklagte New York Polymarket wegen Glücksspiels, eine Erinnerung daran, dass Streitigkeiten zwischen Bundesstaaten und der Industrie auf ihrem eigenen Weg beschleunigt werden. Regulierungsbehörden werden Krypto-gegen-Krypto-Rechtsstreitigkeiten als Roadmap lesen: Wo die Branche keine Einigkeit über die Verantwortung erzielen kann, füllen Gerichte und Behörden das Vakuum. Die Ära, diese Angelegenheiten privat zu regeln, endet, weil die Verluste zu groß geworden sind und die Kontrahenten nun groß genug sind, um sie anzufechten.
Was Marktteilnehmer daraus mitnehmen sollten
Dies ist keine Preisgeschichte und sollte auch nicht so gelesen werden. Sie verändert die Art und Weise, wie Risiken bewertet werden sollten. Erstens verdienen einzelne Ausfallpunkte eine Neubewertung: Kapital wandert weiterhin zu Konfigurationen mit mehreren Verifizierern und Anbietern, und Protokolle, die noch immer eine einzelne DVN betreiben, tragen einen Abschlag, den der Markt noch nicht vollständig eingepreist hat. Zweitens verhalten sich schriftliche endorsements jetzt wie bedingte Verbindlichkeiten; wenn ein Infrastrukturanbieter eine Konfiguration befürwortet hat, ist diese Befürwortung ein potenzieller Anspruch gegen ihn. Drittens beschreibt die Zuschreibung in diesem Fall, die Social-Engineering-Belästigung eines LayerZero-Entwicklers gefolgt von der Vergiftung seiner RPC-Infrastruktur durch eine mit Lazarus verbundene Gruppe namens TraderTraitor, eine wiederkehrende, gut finanzierte Angriffsart und keinen Einzelfall. Sanktionsbewusstes, konformes DeFi wird zu einem echten Unterscheidungsmerkmal und nicht nur zu einem Marketingbegriff.
Die tiefere Lehre ist, dass es sich bei dem Exploit nicht um einen Kompromittierungsschlüssel handelte. Es handelte sich um Infrastrukturgift, eine Angriffsart, die von einem Smart-Contract-Audit nicht aufgedeckt wird. Eine Sicherheitsthese, die mit geprüften Verträgen beginnt und endet, untersucht die falsche Schicht.
Die Frage, die niemand beantworten will
Das aussagekräftigste Detail ist nicht die 292 Millionen US-Dollar. Es ist, dass zwei Krypto-Teams, die beide Vertrauen in Code predigen, nun ein Gericht bitten zu entscheiden, wem wer vertraut hat. Wenn die eigenen Entwickler von DeFi die Akzeptanz von "Code ist Gesetz" als Antwort verweigern, sollte der Rest des Marktes dies ebenfalls nicht tun. Die eigentliche Frage war nie, ob Krypto eine Rechenschaftspflicht entwickeln würde, sondern wer sie schreibt: ein Gerichtssaal oder die DAO, die einen ersetzen sollte.
FAQ
Was ist beim KelpDAO-Exploit passiert? Am 18. April 2026 fütterten Angreifer dem einzigen Verifizierer, der Kelps LayerZero-Brücke sichert, eine gefälschte Nachricht, wodurch dieser 116.500 rsETH, etwa 292 Millionen US-Dollar, freigab, ohne dass es auf der Quellschlüsselkette einen entsprechenden Burn gab. Kelps Brückenguthaben fiel in einem Block von 116.723 rsETH auf 223 rsETH.
Warum verklagt KelpDAO LayerZero? Kelp wirkt LayerZero vor, das anfällige 1-aus-1-Verifizierer-Setup "schriftlich geprüft und gebilligt" zu haben, dann nach dem Verlust öffentlich Kelps Konfiguration die Schuld gegeben zu haben, und dass LayerZero einen anderen Entwickler vor Verifizierer-Risiken gewarnt, Kelp jedoch nicht gewarnt habe. Die Klage lautet auf fahrlässige Falschdarstellung, Fahrlässigkeit und Verleumdung.
Bedeutet "Code ist Gesetz", dass niemand haftbar ist? In der Praxis nein. Es hat im Allgemeinen bedeutet, dass der Nutzer den Verlust trägt, wenn Code versagt. Diese Klage zeigt, dass sogar die eigenen Entwickler der Branche nun einen Rechtsbehelf erwarten: ein Gericht, das entscheiden soll, wem die schwache Stelle gehörte, als der Code tat, was ihm befohlen wurde, aber eine Lüge gesagt bekam.
Wer wird dafür gehalten, die Gelder genommen zu haben? LayerZero's Vorfallbericht, der sich auf Mandiant und CrowdStrike beruft, schrieb den Einbruch TraderTraitor zu, auch bekannt als UNC4899, einem Cluster, das mit Nordkoreas Lazarus-Gruppe in Verbindung gebracht wird. Die Spur der Gelder führt zu einem staatlichen Akteur, während der Rechtsstreit zwischen Kelp und LayerZero bleibt.
Was bedeutet das für andere Brücken? Erwarten Sie, dass Kapital weiterhin zu Multi-Verifizierer-, Multi-Anbieter-Setups wie Chainlink CCIP wandert, und erwarten Sie, dass Infrastrukturanbieter die Nutzungsbedingungen und Haftungsausschlüsse überarbeiten. "Wer verifiziert Ihre Brücke?" ist jetzt eine Due-Diligence-Frage und kein nachträglicher Gedanke.