Evercrest Technologies, società madre di KelpDAO, ha citato in giudizio LayerZero Labs e un co-fondatore per l'exploit del 18 aprile che ha drenato 116.500 rsETH, circa 292 milioni di dollari, sostenendo che la configurazione a singolo verificatore del ponte era stata revisionata e approvata per iscritto. È la prima volta che un protocollo DeFi porta in tribunale il proprio fornitore di infrastrutture, mettendo sotto processo lo slogan più antico del settore.
La causa per responsabilità del ponte DeFi da 292 milioni di dollari ha ucciso "Il codice è la legge"
Punti chiave
- La società madre di KelpDAO, Evercrest Technologies, ha citato in giudizio LayerZero Labs e il co-fondatore Bryan Pellegrino per l'exploit del 18 aprile che ha drenato 116.500 rsETH, circa 292 milioni di dollari, il più grande exploit DeFi del 2026.
- La controversia verte su una configurazione di verificatore 1-di-1 che LayerZero avrebbe "revisionato e approvato per iscritto", per poi attribuire pubblicamente la responsabilità alla configurazione di Kelp.
- È la prima volta che un protocollo DeFi cita in giudizio il proprio fornitore di infrastruttura, una sfida diretta al principio "il codice è legge".
- L'attaccante è collegato al gruppo Lazarus della Corea del Nord, ma la disputa legale è tra due aziende crypto solventi sulla titolarità del punto debole.
Un messaggio falsificato, 292 milioni di dollari, un blocco
Il 18 aprile 2026, un singolo messaggio falsificato ha convinto un ponte cross-chain a rilasciare 116.500 rsETH, pari a circa 292 milioni di dollari, in un unico blocco. Nessuna chiave privata è stata rubata e nessun smart contract ha funzionato male. Il codice ha fatto esattamente ciò che gli era stato ordinato; gli era stato solo detto una bugia. Il saldo del ponte di Kelp è sceso da 116.723 rsETH a 223 rsETH in quel blocco, il che significa che circa il 18 percento dell'offerta circolante di rsETH ha lasciato il ponte.
Il 24 settembre, Evercrest Technologies, la società madre di KelpDAO, ha presentato una domanda civile contro LayerZero Labs e il co-fondatore Bryan Pellegrino presso la Corte Suprema della Columbia Britannica. In un unico atto, il più vecchio slogan del DeFi ha ricevuto una data di udienza.
Cosa significa "il codice è legge" quando il codice è sbagliato?
"Il codice è legge" è stato il presupposto fondante della criptovaluta per un decennio: nessuna controparte, nessun tribunale, nessun errore umano, solo matematica. Un ponte cross-chain è destinato a essere l'espressione più pura di quell'idea. Blocca un token su una catena, ne conia un equivalente su un'altra e lascia che i verificatori, piuttosto che le persone, facciano rispettare le regole. "Trustless" (senza fiducia) è sempre stata una mezza verità, perché qualcuno deve operare il verificatore che controlla se i token sono stati effettivamente bruciati prima che un importo equivalente venga rilasciato altrove.
Nel caso di Kelp, quel qualcuno era LayerZero, in particolare una rete di verificatori decentralizzati (DVN) 1-su-1. In termini pratici, un singolo verificatore stava tra un messaggio in arrivo e il rilascio di 292 milioni di dollari. Non c'era un secondo parere né un controllo incrociato. Quel singolo punto di fiducia è l'intera storia: l'attacco non ha violato il ponte, ha avvelenato l'unico sensore su cui il ponte faceva affidamento.
Chi vince e chi perde quando un ponte fallisce?
I vincitori sono facili da nominare. I tribunoli e i consulenti esterni, innanzitutto. CCIP di Chainlink, l'alternativa a cui Kelp si è migrato a maggio, ha guadagnato visibilità che i budget pubblicitari raramente acquistano: Solv Protocol ha spostato circa 700 milioni di dollari di SolvBTC fuori da LayerZero, e Lombard, con 2,1 miliardi di dollari di valore totale bloccato, ha seguito. Le società di assicurazione e di audit raccolgono nuovi affari dopo ogni perdita headline. Ogni protocollo che già eseguiva una ridondanza multi-verificatore è diventato più attraente in confronto.
I perdenti sono altrettanto chiari. La reputazione di LayerZero ha assorbito il colpo diretto, e Aave registra un debito cattivo stimato tra 123,7 milioni di dollari e 230,1 milioni di dollari dopo che l'attaccante ha depositato rsETH contraffatto e ha preso in prestito beni reali contro di esso. La vittima più silenziosa è la posizione hardline senza ricorso, l'argomento secondo cui nelle perdite di DeFi sono definitive e nessuno deve a nessuno. Un'azienda cripto ha ora dimostrato che persino i costruttori stessi del settore non accettano quella cornice.
L'effetto di secondo ordine potrebbe essere più importante di tutto il resto. La frase "revisionato e approvato per iscritto" è ora uno strumento legale. Documenti, log delle chat interne e messaggi diretti dei fornitori di infrastrutture sono potenziali prove scopribili. Un'ondata di riscrittura dei termini di servizio in tutto l'industria cross-chain entro dodici mesi sarebbe un esito del tutto ordinario.
È già successo prima?
Non in questa forma. Nel 2022 Wormhole ha perso 325 milioni di dollari e Jump Crypto ha risarcito gli utenti nei giorni successivi, senza aule di tribunale e senza giochi di colpevolizzazione. Nel 2023 Multichain ha perso circa 1,5 miliardi di dollari, il suo amministratore delegato è stato arrestato in Cina e i fondi sono rimasti congelati senza alcuna controparte da citare in giudizio. Nel 2022 Ronin ha perso 625 milioni di dollari ed è stato risolto tramite backstop coordinati. Il copione di DeFi era binario: un salvataggio silenzioso o un crollo rumoroso. Non c'era una terza opzione.
La pretesa di Kelp ne introduce una. Due società crypto solventi chiedono a un tribunale di decidere chi possedeva il punto debole: il protocollo che ha distribuito il bridge, o il fornitore di infrastrutture il cui singolo verificatore ha approvato un messaggio contraffatto. LayerZero ha inizialmente affermato che il suo protocollo "ha funzionato esattamente come previsto" e che gli utenti non dovrebbero fare affidamento su un singolo DVN, per poi riconoscere in seguito di "aver commesso un errore permettendo al nostro DVN di agire come un DVN 1-su-1 per transazioni di alto valore." Kelp afferma che LayerZero ha avvisato uno sviluppatore separato, USDT0, dei rischi dei verificatori alla fine del 2024 o all'inizio del 2025, ma non ha trasmesso lo stesso avviso a Kelp. Questa asimmetria è ciò che la litigazione esiste per esaminare.
Dove si dirigerà la responsabilità dei bridge in uno-tre anni?
Ci si aspetta che le "infrastrutture di responsabilità" diventino una categoria di prodotto: wrapper legali, entità legali DAO, assicurazioni on-chain e clausole di responsabilità esplicite scritte negli accordi di integrazione. "Chi verifica il tuo bridge?" si unisce a "chi audita il tuo codice?" nelle checklist di due diligence istituzionali. L'assunzione che un operatore di bridge sia liberato dalla responsabilità nel momento in cui una transazione viene completata è finita.
Una seconda forza agisce in parallelo. Nella stessa settimana in cui Kelp ha presentato la domanda, New York ha citato in giudizio Polymarket per gioco d'azzardo, un promemoria che le dispute tra Stato e settore si stanno accelerando sulla loro traiettoria. I regolatori interpreteranno le cause crypto-verso-crypto come una mappa: dove il settore non riesce a concordare la responsabilità, tribunali e agenzie colmano il vuoto. L'era di risolvere queste questioni privatamente sta terminando perché le perdite sono diventate troppo grandi e le controparti sono ora abbastanza consistenti da contestarle.
Cosa dovrebbero trarre da questo i partecipanti al mercato
Questa non è una storia di prezzi e non dovrebbe essere letta come tale. Cambia il modo in cui il rischio dovrebbe essere valutato. In primo luogo, i singoli punti di debolezza meritano una nuova valutazione: il capitale continua a migrare verso configurazioni con più verificatori e più fornitori, e i protocolli che eseguono ancora un DVN isolato subiscono uno sconto che il mercato non ha ancora completamente precotato. In secondo luogo, le approvazioni scritte ora si comportano come passività contingenti; se un fornitore di infrastrutture ha approvato una configurazione, tale approvazione è una potenziale pretesa nei suoi confronti. In terzo luogo, l'attribuzione in questo caso, l'ingegneria sociale di uno sviluppatore di LayerZero seguita dall'avvelenamento della sua infrastruttura RPC da parte di un cluster collegato a Lazarus noto come TraderTraitor, descrive una classe di attacchi ricorrente e ben finanziata piuttosto che un evento isolato. Il DeFi consapevole delle sanzioni e conforme è diventato un vero elemento differenziante piuttosto che un termine di marketing.
La lezione più profonda è che l'exploit non è stato un compromesso delle chiavi. È stato un avvelenamento delle infrastrutture, una classe di attacchi che un audit dei contratti intelligenti non evidenzia. Una tesi di sicurezza che inizia e finisce con contratti auditati sta esaminando lo strato sbagliato.
La domanda che nessuno vuole rispondere
Il dettaglio più rivelatore non è i 292 milioni di dollari. È che due team crypto che predicano entrambi la fiducia nel codice stanno ora chiedendo a un tribunale di decidere chi si fidasse di chi. Quando i costruttori stessi di DeFi rifiutano di accettare "il codice è legge" come risposta, anche il resto del mercato non dovrebbe farlo. La vera domanda non era mai se la crypto avrebbe sviluppato una responsabilità, ma chi la scrive: un tribunale, o la DAO che avrebbe dovuto sostituirne una.
FAQ
Cosa è successo nell'exploit di KelpDAO? Il 18 aprile 2026, gli aggressori hanno inviato un messaggio falsificato al singolo verificatore che proteggeva il bridge LayerZero di Kelp, facendogli rilasciare 116.500 rsETH, circa 292 milioni di dollari, senza un burn corrispondente sulla catena di origine. Il saldo del bridge di Kelp è sceso da 116.723 rsETH a 223 rsETH in un solo blocco.
Perché KelpDAO sta citando in giudizio LayerZero? Kelp sostiene che LayerZero "ha revisionato e approvato per iscritto" la configurazione vulnerabile del verificatore 1-su-1, per poi incolpare pubblicamente la configurazione di Kelp dopo la perdita, e che LayerZero ha avvisato un altro sviluppatore dei rischi legati ai verificatori ma non ha mai avvisato Kelp. La denuncia chiede risarcimento per dichiarazione negligente, negligenza e diffamazione.
"Il codice è legge" significa che nessuno è responsabile? In pratica, no. Generalmente ha significato che quando il codice fallisce, l'utente assorbe la perdita. Questa causa mostra che anche i costruttori stessi del settore si aspettano ora un ricorso: un tribunale che decida chi possedeva il punto debole quando il codice ha fatto ciò che gli era stato detto, ma gli è stata detta una menzogna.
Chi si ritiene abbia sottratto i fondi? Il rapporto sull'incidente di LayerZero, citando Mandiant e CrowdStrike, ha attribuito l'intrusione a TraderTraitor, noto anche come UNC4899, un cluster collegato al gruppo Lazarus della Corea del Nord. La traccia dei fondi porta a un attore statale, mentre la disputa in tribunale rimane tra Kelp e LayerZero.
Cosa significa questo per gli altri bridge? Ci si aspetta che il capitale continui a migrare verso configurazioni multi-verificatore e multi-fornitore come Chainlink CCIP, e ci si aspetta che i fornitori di infrastruttura rivedano i termini di servizio e le esclusioni di responsabilità. "Chi verifica il tuo bridge?" è ora una domanda di due diligence piuttosto che un ripensamento.