A Evercrest Technologies, controladora da KelpDAO, processou a LayerZero Labs e um co-fundador pelo exploit de 18 de abril que drenou 116.500 rsETH, cerca de $292 milhões, alegando que a configuração de verificador único da ponte havia sido revisada e endossada por escrito. É a primeira vez que um protocolo DeFi leva seu próprio provedor de infraestrutura aos tribunais, colocando em julgamento o slogan mais antigo do setor.
Ação Judicial por Responsabilidade de Ponte DeFi de $292M Acaba com "Código é Lei"
Principais Pontos
- A empresa controladora da KelpDAO, Evercrest Technologies, processou a LayerZero Labs e o co-fundador Bryan Pellegrino pelo exploit de 18 de abril que drenou 116.500 rsETH, cerca de $292 milhões, o maior exploit de DeFi de 2026.
- A alegação baseia-se em uma configuração de verificador 1-de-1 que a LayerZero supostamente "analisou e endossou por escrito", atribuindo-a publicamente à própria configuração da Kelp.
- É a primeira vez que um protocolo DeFi processa seu próprio provedor de infraestrutura, um desafio direto ao princípio de que "o código é a lei".
- O atacante está ligado ao Grupo Lazarus da Coreia do Norte, mas a disputa legal é entre duas empresas de criptomoedas solventes sobre quem era o dono do elo mais fraco.
Uma mensagem forjada, US$ 292 milhões, um bloco
Em 18 de abril de 2026, uma única mensagem forjada convenceu uma ponte cross-chain a liberar 116.500 rsETH, cerca de US$ 292 milhões, em um único bloco. Nenhuma chave privada foi roubada e nenhum contrato inteligente falhou. O código fez exatamente o que foi mandado; apenas foi enganado. O saldo da ponte da Kelp caiu de 116.723 rsETH para 223 rsETH nesse bloco, o que significa que cerca de 18% do fornecimento circulante de rsETH saiu da ponte.
Em 24 de setembro, a Evercrest Technologies, empresa-mãe da KelpDAO, apresentou uma ação civil contra a LayerZero Labs e o co-fundador Bryan Pellegrino na Suprema Corte da Colúmbia Britânica. Em um único documento, o slogan mais antigo do DeFi recebeu uma data para julgamento.
O que significa "código é lei" quando o código está errado?
"Código é lei" tem sido a premissa fundadora do cripto por uma década: sem contrapartes, sem tribunais, sem erro humano, apenas matemática. Uma ponte cross-chain é meant para ser a expressão mais pura dessa ideia. Bloquear um token em uma cadeia, cunhar um equivalente em outra e deixar que verificadores, em vez de pessoas, imponham as regras. "Sem confiança" sempre foi uma meia-verdade, porque alguém precisa operar o verificador que verifica se os tokens foram realmente queimados antes que um valor equivalente seja liberado em outro lugar.
No caso da Kelp, esse alguém era a LayerZero, especificamente uma rede de verificação descentralizada 1-de-1, ou DVN. Em termos práticos, um único verificador estava entre uma mensagem recebida e a liberação de $292 milhões. Não havia segunda opinião nem verificação cruzada. Esse único ponto de confiança é toda a história: o ataque não quebrou a ponte, ele envenenou o único sensor no qual a ponte confiava.
Quem ganha e quem perde quando uma ponte falha?
Os vencedores são fáceis de nomear. Tribunais e consultores externos, primeiro. O CCIP da Chainlink, a alternativa para a qual a Kelp migrou em maio, ganhou visibilidade que orçamentos de publicidade raramente compram: o Solv Protocol moveu cerca de $700 milhões de SolvBTC fora da LayerZero, e a Lombard, com $2,1 bilhões em valor total travado, seguiu. Seguradoras e empresas de auditoria ganham novos negócios após cada perda noticiada. Todo protocolo que já executava redundância multi-verificadora tornou-se mais atraente em comparação.
Os perdedores são igualmente claros. A reputação da LayerZero absorveu o golpe direto, e a Aave carrega uma estimativa de $123,7 milhões a $230,1 milhões em dívida ruim após o atacante depositar rsETH falso e emprestar ativos reais contra ele. A vítima mais silenciosa é a posição dura de não-recorrência, o argumento de que no DeFi as perdas são finais e ninguém deve a ninguém. Uma empresa de cripto agora mostrou que mesmo os próprios construtores da indústria não aceitam essa estrutura.
O efeito de segunda ordem pode ser mais importante do que qualquer um desses aspectos. A frase "revisado e endossado por escrito" tornou-se agora um instrumento legal. Documentação, registros de chat internos e mensagens diretas de provedores de infraestrutura são potenciais provas em fase de descoberta de evidências. Uma onda de reescrita dos termos de serviço em toda a indústria cross-chain dentro de doze meses seria um resultado nada surpreendente.
Isso já aconteceu antes?
Não dessa forma. Em 2022, a Wormhole perdeu US$ 325 milhões e a Jump Crypto ressarciu os usuários em poucos dias, sem tribunal e sem jogo de culpas. Em 2023, a Multichain perdeu cerca de US$ 1,5 bilhão, seu diretor-executivo foi preso na China e os fundos permaneceram congelados, sem contraparte restante para processar. Em 2022, a Ronin perdeu US$ 625 milhões e o caso foi resolvido por meio de garantias coordenadas. O manual de operações do DeFi era binário: um resgate silencioso ou um colapso estrondoso. Não havia uma terceira opção.
A alegação da Kelp introduz uma terceira opção. Duas empresas de criptomoedas solventes estão pedindo a um tribunal que decida quem era o elo mais fraco: o protocolo que implantou a ponte, ou o provedor de infraestrutura cujo único verificador assinou uma mensagem forjada. A LayerZero inicialmente afirmou que seu protocolo "funcionou exatamente como pretendido" e que os usuários não deveriam depender de um único DVN, mas depois reconheceu que "cometeu um erro ao permitir que nosso DVN atuasse como um DVN 1-de-1 para transações de alto valor." A Kelp afirma que a LayerZero alertou um desenvolvedor separado, o USDT0, sobre os riscos dos verificadores no final de 2024 ou início de 2025, mas não transmitiu o mesmo alerta à Kelp. Essa assimetria é o que a litigação existe para examinar.
Para onde a responsabilidade das pontes caminha em um a três anos?
Espere que a "infraestrutura de responsabilização" se torne uma categoria de produto: estruturas jurídicas, entidades jurídicas de DAOs, seguros on-chain e cláusulas explícitas de responsabilidade escritas em acordos de integração. "Quem verifica sua ponte?" junta-se a "quem audita seu código?" nas listas de verificação de due diligence institucional. A suposição de que um operador de ponte é liberado da responsabilidade no momento em que uma transação é concluída está terminada.
Uma segunda força atua em paralelo. Na mesma semana em que a Kelp entrou com a ação, o estado de Nova York processou a Polymarket por jogos de azar, um lembrete de que disputas entre estados e a indústria estão acelerando em sua própria trajetória. Os reguladores interpretarão a litigação cripto versus cripto como um roteiro: onde a indústria não consegue concordar sobre a responsabilidade, os tribunais e as agências preenchem o vácuo. A era de resolver esses assuntos de forma privada está chegando ao fim, pois as perdas cresceram demais e as contrapartes agora são grandes o suficiente para contestá-las.
O que os participantes do mercado devem tirar disso
Esta não é uma história de preços, e não deve ser lida como tal. Ela altera a forma como o risco deve ser avaliado. Primeiro, pontos únicos de falha merecem uma reavaliação: o capital continua migrando para configurações com múltiplos verificadores e múltiplos provedores, e os protocolos que ainda operam com um único DVN carregam um desconto que o mercado ainda não precificou totalmente. Segundo, os endossos por escrito agora se comportam como passivos contingentes; se um provedor de infraestrutura endossou uma configuração, esse endosso é uma reivindicação potencial contra ele. Terceiro, a atribuição neste caso — engenharia social de um desenvolvedor da LayerZero seguida pelo envenenamento de sua infraestrutura RPC por um cluster vinculado ao Lazarus, conhecido como TraderTraitor — descreve uma classe de ataque recorrente e bem financiada, em vez de um evento isolado. A DeFi consciente de sanções e em conformidade está se tornando um diferenciador genuíno, em vez de um termo de marketing.
A lição mais profunda é que a exploração não foi uma violação de chaves. Foi um envenenamento de infraestrutura, uma classe de ataque que uma auditoria de contrato inteligente não revela. Uma tese de segurança que começa e termina com contratos auditados está examinando a camada errada.
A pergunta que ninguém quer responder
O detalhe mais revelador não são os US$ 292 milhões. É que duas equipes de cripto, que ambas pregam a confiança no código, agora estão pedindo a um tribunal para decidir quem confiou em quem. Quando os próprios construtores da DeFi se recusam a aceitar "o código é a lei" como resposta, o resto do mercado também não deveria. A verdadeira pergunta nunca foi se o cripto desenvolveria responsabilidade, mas quem a escreveria: um tribunal ou a DAO que deveria substituir um.
FAQ
O que aconteceu na exploração da KelpDAO? Em 18 de abril de 2026, os atacantes alimentaram uma mensagem forjada no único verificador que protegia a ponte LayerZero da Kelp, fazendo com que ela liberasse 116.500 rsETH, cerca de US$ 292 milhões, sem um queimamento correspondente na cadeia de origem. O saldo da ponte da Kelp caiu de 116.723 rsETH para 223 rsETH em um único bloco.
Por que a KelpDAO está processando a LayerZero? A Kelp alega que a LayerZero "analisou e endossou por escrito" a configuração vulnerável de verificador 1-de-1, e depois culpou publicamente a configuração da Kelp após a perda, e que a LayerZero alertou outro desenvolvedor sobre os riscos do verificador, mas nunca alertou a Kelp. A alegação pede representação negligente, negligência e difamação.
"O código é a lei" significa que ninguém é responsável? Na prática, não. Geralmente, isso significou que, quando o código falha, o usuário absorve a perda. Este processo mostra que até os próprios construtores da indústria agora esperam recurso: um tribunal para decidir quem era o elo fraco quando o código fez o que foi dito, mas foi enganado.
Quem se acredita ter tomado os fundos? O relatório de incidente da LayerZero, citando Mandiant e CrowdStrike, atribuiu a intrusão ao TraderTraitor, também rastreado como UNC4899, um cluster vinculado ao Grupo Lazarus da Coreia do Norte. O rastro dos fundos leva a um ator estatal, enquanto a disputa no tribunal permanece entre a Kelp e a LayerZero.
O que isso significa para outras pontes? Espere que o capital continue migrando para configurações com múltiplos verificadores e múltiplos provedores, como a Chainlink CCIP, e espere que os provedores de infraestrutura revisem os termos de serviço e isenções de responsabilidade. "Quem verifica sua ponte?" agora é uma questão de due diligence, e não um pensamento secundário.