Evercrest Technologies, KelpDAO की मूल कंपनी, ने 18 अप्रैल के उस एक्सप्लॉइट के लिए LayerZero Labs और एक सह-संस्थापक के खिलाफ मुकदमा दायर किया, जिसमें 116,500 rsETH, लगभग $292 मिलियन, ड्रेन हो गए थे, यह आरोप लगाते हुए कि ब्रिज की सिंगल-वरीफायर कॉन्फ़िगरेशन को लिखित रूप से समीक्षित और मंजूरी दी गई थी। यह पहली बार है जब एक DeFi प्रोटोकॉल अपने खुद के इंफ्रास्ट्रक्चर प्रदाता को अदालत में ले गया है, और यह सेक्टर के सबसे पुराने नारे को न्याय के समक्ष रखता है।
$292M DeFi ब्रिज दायित्व मुकदमे ने "कोड ही कानून है" को खत्म कर दिया
मुख्य बिंदु
- KelpDAO की मूल कंपनी, Evercrest Technologies, ने LayerZero Labs और सह-संस्थापक Bryan Pellegrino पर अप्रैल 18 के एक्सप्लॉइट के लिए मुकदमा दायर किया, जिसमें 116,500 rsETH, लगभग $292 मिलियन, 2026 का सबसे बड़ा DeFi एक्सप्लॉइट निकाल लिया गया।
- यह दावा LayerZero द्वारा "लिखित में समीक्षा और अनुमोदित" किए गए 1-ऑफ-1 वेरिफायर सेटअप पर निर्भर करता है, जिन्हें बाद में सार्वजनिक रूप से Kelp की अपनी कॉन्फ़िगरेशन के लिए जिम्मेदार ठहराया गया।
- यह पहली बार है जब एक DeFi प्रोटोकॉल ने अपने खुद के इंफ्रास्ट्रक्चर प्रदाता को अदालत में ले जाया है, जो "कोड ही कानून है" सिद्धांत के लिए एक सीधा चुनौती है।
- हमलावर उत्तर कोरिया के Lazarus Group से जुड़ा हुआ है, लेकिन कानूनी विवाद दो सक्षम क्रिप्टो कंपनियों के बीच चल रहा है कि कमजोर लिंक किसका था।
एक नकली संदेश, $292 मिलियन, एक ब्लॉक
18 अप्रैल, 2026 को, एक अकेले नकली संदेश ने एक क्रॉस-चेन ब्रिज को एक ही ब्लॉक में 116,500 rsETH, लगभग $292 मिलियन, जारी करने के लिए मजबूर कर दिया। कोई निजी कुंजी चोरी नहीं हुई और कोई स्मार्ट कॉन्ट्रॉट खराब नहीं हुआ। कोड ने बिल्कुल वही किया जो उसे कहा गया था; उसे बस एक झूठ बताया गया था। उस ब्लॉक में Kelp का ब्रिज बैलेंस 116,723 rsETH से घटकर 223 rsETH हो गया, जिसका अर्थ है कि प्रचलित rsETH आपूर्ति का लगभग 18 प्रतिशत ब्रिज से बाहर चला गया।
24 सितंबर को, KelpDAO की मूल कंपनी Evercrest Technologies ने ब्रिटिश कोलंबिया की सुप्रीम कोर्ट में LayerZero Labs और सह-संस्थापक Bryan Pellegrino के खिलाफ एक नागरिक दावा दायर किया। एक ही फाइलिंग में, DeFi के सबसे पुराने नारे को अदालती तारीख मिली।
जब कोड गलत हो तो "कोड कानून है" का क्या अर्थ है?
"कोड कानून है" दशक से क्रिप्टो की संस्थापक परिकल्पना रही है: कोई काउंटरपार्टी नहीं, कोई अदालत नहीं, कोई मानवीय त्रुटि नहीं, केवल गणित। एक क्रॉस-चेन ब्रिज उस विचार की सबसे शुद्ध अभिव्यक्ति होना चाहिए। एक चेन पर एक टोकन को लॉक करें, दूसरी चेन पर इसके बराबर मिंट करें, और नियमों को लागू करने के लिए लोगों के बजाय सत्यापकों पर निर्भर रहें। "ट्रस्टलेस" हमेशा आधा सच था, क्योंकि किसी को यह सत्यापन करना होता है कि टोकन वास्तव में जलाए गए हैं या नहीं, ताकि कहीं और बराबर मात्रा जारी की जा सके।
Kelp के मामले में, वह कोई LayerZero था, विशेष रूप से एक 1-ऑफ-1 डिसेंट्रलाइज्ड सत्यापक नेटवर्क, या DVN। व्यावहारिक रूप से, एक आने वाले संदेश और $292 मिलियन की रिलीज के बीच एक सत्यापक खड़ा था। कोई दूसरी राय नहीं थी और कोई क्रॉस-चेक नहीं था। विश्वास का वह एकमात्र बिंदु ही पूरी कहानी है: हमले ने ब्रिज को तोड़ा नहीं, बल्कि उस एक सेंसर को जहर दिया जिस पर ब्रिज निर्भर था।
जब एक पुल टूटता है तो कौन जीतता है और कौन हारता है?
जीतने वालों को नाम देना आसान है। सबसे पहले अदालतें और बाहरी सलाहकार। चेनलिंक का CCIP, जिसमें मई में केल্প ने विकल्प के रूप में स्थानांतरण किया, उसने ऐसी दृश्यता हासिल की जो विज्ञापन बजट दुर्लभ रूप से खरीदते हैं: सोल्व प्रोटोकॉल ने लगभग $700 मिलियन सोल्वBTC को लेयरज़ीरो से हटाया, और लोम्बार्ड, जिसमें कुल वैल्यू लॉक्ड $2.1 बिलियन है, उसके बाद आया। बीमा और ऑडिट फर्मों ने हर हेडलाइन नुकसान के बाद नया व्यवसाय हासिल किया। हर प्रोटोकॉल जो पहले से ही मल्टी-वेरिफायर रिडंडेंसी चला रहा था, तुलना में अधिक आकर्षक हो गया।
हारने वाले भी उतने ही स्पष्ट हैं। लेयरज़ीरो की प्रतिष्ठा ने सीधा प्रभाव झेला, और एवे ने हमलावर द्वारा नकली rsETH जमा करने और उसके खिलाफ वास्तविक संपत्तियों को उधार लेने के बाद अनुमानित $123.7 मिलियन से $230.1 मिलियन तक की खराब ऋण राशि वहन की। सबसे शांत हताहत कठोर-रेखीय नो-रिफरेंस स्थिति है, तर्क कि DeFi में नुकसान अंतिम होते हैं और कोई किसी को कुछ नहीं देता। एक क्रिप्टो कंपनी ने अब दिखाया है कि यहां तक कि उद्योग के अपने निर्माता भी उस ढांचे को स्वीकार नहीं करते।
दूसरे-क्रम का प्रभाव इससे कहीं अधिक महत्वपूर्ण हो सकता है। "लिखित रूप में समीक्षा और अनुमोदित" की वाक्यांश अब एक कानूनी उपकरण है। दस्तावेजीकरण, आंतरिक चैट लॉग और इंफ्रास्ट्रक्चर प्रदाताओं से सीधे संदेश संभावित खोज साक्ष्य हैं। बारह महीने के भीतर क्रॉस-चेन उद्योग में सेवा की शर्तों के पुनर्लेखन की एक लहर एक अविस्मरणीय परिणाम होगी।
क्या ऐसा पहले हुआ है?
इस रूप में नहीं। 2022 में वर्महोल ने $325 मिलियन खो दिए और जंप क्रिप्टो ने कुछ ही दिनों में उपयोगकर्ताओं को पूरा किया, बिना किसी अदालती मामले और बिना किसी दोषी खेल के। 2023 में मल्टीचेन ने लगभग $1.5 बिलियन खो दिए, इसके मुख्य कार्यकारी अधिकारी को चीन में गिरफ्तार किया गया, और धन जमा रह गया, बिना किसी प्रतिपक्षी के जो उसे मुकदमा कर सके। 2022 में रोनिन ने $625 मिलियन खो दिए और समन्वित बैकस्टॉप्स के माध्यम से इसे हल किया गया। DeFi की प्लेबुक द्विआधारी थी: एक शांत बेलआउट या एक शोरगुल वाला पतन। कोई तीसरा विकल्प नहीं था।
Kelp का दावा एक नया पहलू पेश करता है। दो सॉल्वेंट क्रिप्टो कंपनियां अदालत से यह तय करने का अनुरोध कर रही हैं कि कमजोर कड़ी का मालिक कौन था: वह प्रोटोकॉल जिसने ब्रिज तैनात किया, या वह इंफ्रास्ट्रक्चर प्रदाता जिसके एकमात्र वेरिफायर ने एक नकली संदेश पर हस्ताक्षर किए थे। LayerZero ने शुरू में कहा था कि इसका प्रोटोकॉल "बिल्कुल वैसे ही काम कर रहा था जैसा कि उद्देश्य था" और कि उपयोगकर्तरों को केवल DVN पर निर्भर नहीं रहना चाहिए, और बाद में स्वीकार किया कि उसने "उच्च-मूल्य वाले लेनदेन के लिए हमारे DVN को 1-ऑफ-1 DVN के रूप में कार्य करने की अनुमति देकर एक गलती की।" Kelp का कहना है कि LayerZero ने अक्टूबर 2024 या जनवरी 2025 में एक अलग डेवलपर, USDT0, को वेरिफायर जोखिमों के बारे में चेतावनी दी थी, लेकिन Kelp को वही चेतावनी नहीं दी थी। यही असममितता है जिसका जांच के लिए विवाद है।
एक से तीन वर्षों में ब्रिज की जिम्मेदारी कहाँ जा रही है?
"जवाबदेही इंफ्रास्ट्रक्चर" को एक उत्पाद श्रेणी बनते हुए देखें: कानूनी ढांचे, DAO कानूनी इकाइयाँ, ऑन-चेन बीमा, और एकीकरण समझौतों में लिखित स्पष्ट जिम्मेदारी की शर्तें। "आपकी ब्रिज की सत्यापन कौन करता है?" संस्थागत ड्यू-डिलिजेंस चेकलिस्ट पर "आपके कोड की ऑडिट कौन करता है?" के साथ जुड़ जाता है। यह मान्यता कि एक ब्रिज संचालक उस क्षण से जिम्मेदारी से मुक्त हो जाता है जब एक लेनदेन पूरा हो जाता है, गलत है।
एक दूसरी शक्ति समानांतर रूप से चल रही है। Kelp के फाइल करने की उसी सप्ताह, न्यूयॉर्क ने पॉलीमार्केट पर जुए के खिलाफ मुकदमा दायर किया, जो यह याद दिलाता है कि राज्य बनाम उद्योग विवाद अपने स्वयं के ट्रैक पर तेजी से बढ़ रहे हैं। नियामक क्रिप्टो बनाम क्रिप्टो विवादों को एक रोडमैप के रूप में पढ़ेंगे: जहाँ उद्यम जिम्मेदारी पर सहमत नहीं हो सकता, वहाँ अदालतें और एजेंसियाँ खाली जगह को भरती हैं। इन मामलों को निजी तौर पर सुलझाने का युग समाप्त हो रहा है क्योंकि नुकसान बहुत बड़े हो गए हैं और विपक्षी पक्ष अब इन्हें चुनौती देने के लिए पर्याप्त रूप से महत्वपूर्ण हैं।
इससे बाजार के भागीदारों को क्या समझना चाहिए
यह कोई कीमत की कहानी नहीं है, और इसे ऐसा नहीं पढ़ना चाहिए। यह जोखिम का आकलन कैसे किया जाना चाहिए, इसे बदल देती है। पहला, विफलता के एकमात्र बिंदुओं का पुनर्मूल्यांकन किया जाना चाहिए: पूंजी बहु-वेरिफायर, बहु-प्रदाता सेटअप की ओर स्थानांतरित हो रही है, और अकेले DVN पर चलने वाले प्रोटोकॉल पर बाजार द्वारा पूरी तरह से मूल्य निर्धारित नहीं किया गया है। दूसरा, लिखित प्रशंसा पत्र अब आश्रित दायित्वों की तरह व्यवहार करते हैं; यदि एक इंफ्रास्ट्रक्चर प्रदाता ने किसी विन्यास का प्रशंसा पत्र दिया था, तो वह प्रशंसा पत्र उसके खिलाफ एक संभावित दावा है। तीसरा, इस मामले में जिम्मेदारी का निर्धारण, LayerZero के एक डेवलपर का सामाजिक इंजीनियरिंग के बाद, Lazarus से जुड़े TraderTraitor नामक क्लस्टर द्वारा इसके RPC इंफ्रास्ट्रक्चर को विषाक्त बनाना, एक दोहराए जाने वाले, अच्छी तरह से वित्त प्राप्त आक्रमण श्रेणी का वर्णन करता है, न कि एक बार हुआ घटना। सैंक्शंस-जागरूक, अनुपालन DeFi एक वास्तविक अंतरकारी बन रहा है, न कि एक मार्केटिंग शब्द।
गहरा सबक यह है कि एक्सप्लॉइट किसी की-कंप्रोमाइज का मामला नहीं था। यह इंफ्रास्ट्रक्चर पॉइजनिंग था, एक अटैक क्लास जिसे स्मार्ट कॉन्ट्रैक्ट ऑडिट सामने नहीं लाता है। एक सुरक्षा थीसिस जो केवल ऑडिट किए गए कॉन्ट्रैक्ट्स के साथ शुरू और खत्म होती है, गलत परत का निरीक्षण कर रही है।
वह सवाल जिसका कोई जवाब देना नहीं चाहता
सबसे ज्यादा बताने वाला विवरण $292 मिलियन नहीं है। यह है कि दो क्रिप्टो टीमों ने जो कोड पर भरोसे का प्रचार करती हैं, अब अदालत से यह तय करवाने को कह रही हैं कि किसने किस पर भरोसा किया। जब DeFi के अपने बिल्डर्स "कोड ही कानून है" को एक जवाब के रूप में स्वीकार करने से इनकार करते हैं, तो बाकी बाजार को भी नहीं करना चाहिए। असली सवाल कभी यह नहीं था कि क्या क्रिप्टो जवाबदेही विकसित करेगा, बल्कि यह कि इसे कौन लिखेगा: एक अदालत, या वह DAO जिसने एक को बदलने का वादा किया था।
FAQ
KelpDAO एक्सप्लॉइट में क्या हुआ? 18 अप्रैल, 2026 को, हमलावरों ने Kelp के LayerZero ब्रिज को सुरक्षित रखने वाले एकमात्र वेरिफायर को एक झूठा संदेश भेजा, जिसके कारण उसने स्रोत चेन पर कोई संबंधित बर्न किए बिना 116,500 rsETH, लगभग $292 मिलियन जारी कर दिए। Kelp का ब्रिज बैलेंस एक ब्लॉक में 116,723 rsETH से घटकर 223 rsETH हो गया।
KelpDAO LayerZero पर क्यों मुकदमा कर रहा है? Kelp का आरोप है कि LayerZero ने कमजोर 1-ऑफ-1 वेरिफायर सेटअप को "समीक्षा किया और लिखित में समर्थन दिया", फिर नुकसान के बाद सार्वजनिक रूप से Kelp की कॉन्फ़िगरेशन को दोष दिया, और LayerZero ने एक अन्य डेवलपर को वेरिफायर जोखिमों के बारे में चेतावनी दी लेकिन Kelp को कभी चेतावनी नहीं दी। यह दावा नेगलिजेंट मिरिप्रिजेंटेशन, नेगलिजेंस और डिफामेशन का आरोप लगाता है।
क्या "कोड ही कानून है" का मतलब है कि कोई जवाबदेह नहीं है? व्यावहारिक रूप से, नहीं। इसका सामान्यतः यह अर्थ रहा है कि जब कोड विफल होता है, तो उपयोगकर्ता नुकसान सहता है। यह मुकदमा दिखाता है कि यहां तक कि उद्योग के अपने बिल्डर्स भी अब राहत की उम्मीद करते हैं: एक अदालत यह तय करने के लिए कि जब कोड ने वही किया जो उसे कहा गया था लेकिन उसे झूठ कहा गया था, तो कमजोर लिंक का मालिक कौन था।
किस पर भरोसा किया जाता है कि उसने धनराशि ली? LayerZero के घटना रिपोर्ट, जिसमें Mandiant और CrowdStrike का हवाला दिया गया है, ने आक्रमण को TraderTraitor, जिसे UNC4899 के रूप में भी ट्रैक किया जाता है, से जोड़ा है, जो उत्तर कोरिया के Lazarus Group से जुड़े एक क्लस्टर से संबंधित है। धनराशि का पता एक राज्य एजेंट की ओर जाता है, जबकि अदालती विवाद Kelp और LayerZero के बीच बना हुआ है।
इसका दूसरे ब्रिजों पर क्या मतलब है? उम्मीद है कि पूंजी बहु-सत्यापक, बहु-प्रदाता सेटअप जैसे Chainlink CCIP की ओर बढ़ती रहेगी, और उम्मीद है कि इंफ्रास्ट्रक्चर प्रदाता सेवा की शर्तों और अस्वीकरणों को संशोधित करेंगे। "आपके ब्रिज को कौन सत्यापित करता है?" अब एक ड्यू-डिलिजेंस सवाल है, न कि एक बाद की सोच।