Evercrest Technologies, материнская компания KelpDAO, подала в суд на LayerZero Labs и соучредителя в связи с эксплойтом 18 апреля, в результате которого было выведено 116 500 rsETH, примерно на $292 млн, утверждая, что конфигурация моста с единственным верификатором была рассмотрена и одобрена в письменной форме. Это первый случай, когда протокол DeFi подал в суд на своего собственного поставщика инфраструктуры, и это ставит на суд старейший слоган сектора.
Иск о liability в размере $292 млн за мост DeFi убил «код — это закон»
Ключевые выводы
- Материнская компания KelpDAO, Evercrest Technologies, подала в суд на LayerZero Labs и сооснователя Брайана Пеллегрино из-за эксплойта 18 апреля, в результате которого было выведено 116 500 rsETH, примерно на $292 млн, крупнейшего взлома DeFi в 2026 году.
- Иск основан на конфигурации верификатора 1-из-1, которую LayerZero, по утверждению истца, «проверила и одобрила в письменной форме», а затем публично приписала собственной конфигурации Kelp.
- Это первый случай, когда протокол DeFi подал в суд на своего собственного поставщика инфраструктуры, что представляет собой прямой вызов принципу «код — это закон».
- Атакующий связан с северокорейской группировкой Lazarus Group, но юридический спор ведется между двумя платежеспособными криптокомпаниями о том, кому принадлежал слабый звено.
Одно поддельное сообщение, 292 миллиона долларов, один блок
18 апреля 2026 года одно поддельное сообщение убедило кросс-чейн мост выпустить 116 500 rsETH, примерно на 292 миллиона долларов, в одном блоке. Ничей приватный ключ не был украден, и в смарт-контракте не произошло сбоя. Код сделал ровно то, что ему сказали; ему просто сказали ложь. Баланс моста Kelp упал с 116 723 rsETH до 223 rsETH в этом блоке, что означает, что примерно 18 процентов обращающегося предложения rsETH покинули мост.
24 сентября Evercrest Technologies, материнская компания KelpDAO, подала гражданский иск против LayerZero Labs и соучредителя Брайана Пеллегрино в Верховном суде Британской Колумбии. В одном документе старейший слоган DeFi получил дату судебного заседания.
Что означает «код — это закон», когда код ошибочен?
«Код — это закон» в течение десятилетия был основополагающим принципом криптоиндустрии: никаких контрагентов, никаких судов, никаких человеческих ошибок, только математика. Кросс-чейн мост должен быть самым чистым выражением этой идеи. Заблокируйте токен на одной цепи, создайте эквивалент на другой и позвольте верификаторам, а не людям, обеспечивать соблюдение правил. «Без доверия» всегда было полуправдой, потому что кто-то должен управлять верификатором, который проверяет, были ли токены фактически сожжены, прежде чем на другую сторону будет выпущена эквивалентная сумма.
В случае Kelp этим «кем-то» была LayerZero, а именно децентрализованная сеть верификаторов 1-из-1, или DVN. На практике один верификатор стоял между входящим сообщением и выпуском 292 миллионов долларов. Не было второго мнения и никакой перекрестной проверки. Эта единственная точка доверия — это вся история: атака не взломала мост, она отравила единственный датчик, на который полагался мост.
Кто выигрывает, а кто проигрывает, когда мост рушится?
Победителей легко назвать. Прежде всего, суды и внешние консультанты. CCIP от Chainlink, альтернатива, на которую перешёл Kelp в мае, получил видимость, которую редко покупают рекламные бюджеты: Solv Protocol вывел около $700 млн SolvBTC с LayerZero, а за ним последовал Lombard с общей заблокированной стоимостью в $2,1 млрд. Страховые и аудиторские фирмы получают новый бизнес после каждой новости о потерях. Каждый протокол, уже использующий избыточность с несколькими верификаторами, стал более привлекательным на сравнении.
Проигравшие также очевидны. Репутация LayerZero получила прямой удар, а Aave несет оценочные убытки в размере от 123,7 млн до 230,1 млн долларов в виде плохих долгов после того, как злоумышленник внес поддельные rsETH и занял реальные активы под них. Самым тихим пострадавшим стал жесткий принцип отсутствия права регресса — аргумент о том, что в DeFi убытки окончательны и никто никому ничего не должен. Теперь криптокомпания показала, что даже собственные создатели индустрии не принимают такую трактовку.
Эффект второго порядка может иметь большее значение, чем все вышеперечисленное. Фраза «одобрено и подтверждено в письменной форме» теперь является юридическим инструментом. Документация, внутренние логи чатов и прямые сообщения от поставщиков инфраструктуры могут стать потенциальными доказательствами в ходе судебного разбирательства. Волна пересмотра условий использования по всей кросс-чейн индустрии в течение двенадцати месяцев была бы вполне ожидаемым исходом.
Это уже случалось раньше?
Не в этой форме. В 2022 году Wormhole потерял $325 млн, а Jump Crypto восстановил средства пользователей в течение нескольких дней, без судебных разбирательств и перекладывания вины. В 2023 году Multichain потерял около $1,5 млрд, его генеральный директор был арестован в Китае, а средства остались замороженными, и не осталось контрагента, которого можно было бы судить. В 2022 году Ronin потерял $625 млн, и инцидент был урегулирован благодаря скоординированным механизмам поддержки. Сценарий DeFi был бинарным: тихая спасательная операция или громкий крах. Третьего варианта не было.
Заявление Kelp вводит третий вариант. Два платежеспособные криптокомпании просят суд решить, кому принадлежала слабая звено: протоколу, развернувшему мост, или поставщику инфраструктуры, чей единственный верификатор подписал поддельное сообщение. Изначально LayerZero заявил, что его протокол «работал точно так, как задумано», и что пользователи не должны полагаться на единственного DVN, а позже признал, что «допустил ошибку, позволив нашему DVN действовать как 1-из-1 DVN для транзакций с высокой стоимостью». Kelp утверждает, что LayerZero предупредил отдельного разработчика, USDT0, о рисках верификаторов в конце 2024 или начале 2025 года, но не передал аналогичное предупреждение Kelp. Именно эта асимметрия является предметом судебного разбирательства.
Куда движется ответственность за мосты в течение одного-трех лет?
Ожидается, что «инфраструктура подотчетности» станет новой категорией продуктов: юридические обертки, юридические лица DAO, ончейн-страхование и явные пункты об ответственности, прописанные в соглашениях об интеграции. Вопрос «Кто верифицирует ваш мост?» присоединится к вопросу «Кто аудитор вашего кода?» в списках институциональной проверки. Предположение о том, что оператор моста освобождается от ответственности в момент завершения транзакции, устарело.
Второй фактор действует параллельно. В ту же неделю, когда Kelp подал иск, Нью-Йорк подал в суд на Polymarket за азартные игры, что напоминает о том, что споры между государством и индустрией ускоряются по собственному сценарию. Регуляторы будут рассматривать крипто-против-крипто судебные разбирательства как дорожную карту: там, где индустрия не может договориться об ответственности, суды и агентства заполняют вакуум. Эра урегулирования этих вопросов в частном порядке заканчивается, поскольку убытки стали слишком велики, а контрагенты теперь достаточно значимы, чтобы оспаривать их.
Что участникам рынка следует извлечь из этого
Это не история о ценах, и её не следует воспринимать как таковую. Она меняет подход к оценке рисков. Во-первых, единые точки отказа заслуживают переоценки: капитал продолжает перетекать в конфигурации с несколькими верификаторами и провайдерами, а протоколы, использующие единственный DVN, торгуются с дисконтом, который рынок ещё не полностью заложил в цену. Во-вторых, письменные одобрения теперь ведут себя как условные обязательства; если инфраструктурный провайдер дал письменное одобрение определённой конфигурации, это одобрение становится потенциальным основанием для претензий к нему. В-третьих, атрибуция этого инцидента — социальная инженерия в отношении разработчика LayerZero, за которой последовало отравление его RPC-инфраструктуры кластером, связанным с Lazarus и известным как TraderTraitor, — описывает повторяющийся, хорошо финансируемый класс атак, а не единичный случай. DeFi, учитывающий санкционные риски и соответствующий регуляторным требованиям, становится реальным конкурентным преимуществом, а не просто маркетинговым термином.
Более глубокий урок заключается в том, что уязвимость была не результатом компрометации ключей. Это было отравление инфраструктуры — класс атак, который не выявляется при аудите смарт-контрактов. Безопасность, основанная исключительно на проверенных смарт-контрактах, изучает неверный уровень архитектуры.
Вопрос, на который никто не хочет отвечать
Самый показательный факт — не сумма в $292 миллиона. А то, что две крипто-команды, обе проповедующие доверие к коду, теперь просят суд решить, кто кому доверял. Когда собственные создатели DeFi отказываются принимать «код — это закон» в качестве ответа, остальному рынку не следует делать этого. Реальный вопрос заключался не в том, разовьёт ли криптография подотчётность, а в том, кто её устанавливает: суд или DAO, который должен был заменить судебную систему.
FAQ
Что произошло при эксплуатации KelpDAO? 18 апреля 2026 года злоумышленники передали поддельное сообщение единственному верификатору, защищавшему мост LayerZero Kelp, что заставило его выпустить 116 500 rsETH, примерно на $292 миллиона, без соответствующего сжигания на исходной цепи. Баланс моста Kelp упал с 116 723 rsETH до 223 rsETH за один блок.
Почему KelpDAO подаёт в суд на LayerZero? Kelp утверждает, что LayerZero «проверил и дал письменное одобрение» уязвимой конфигурации с одним верификатором (1-of-1), а затем публично обвинил конфигурацию Kelp в потере средств, при этом LayerZero предупредил другого разработчика о рисках верификаторов, но никогда не предупреждал Kelp. Исковые требования включают небрежное введение в заблуждение, халатность и клевету.
Означает ли «код — это закон», что никто не несёт ответственности? На практике нет. Обычно это означало, что при сбое кода пользователь несёт убытки. Этот иск показывает, что даже создатели в индустрии теперь ожидают возможности обратиться за защитой: суд должен решить, кто владел слабым звеном, когда код выполнил то, что ему сказали, но ему сказали ложь.
Кто, как считается, похитил средства? В отчёте об инциденте LayerZero, со ссылкой на Mandiant и CrowdStrike, вторжение было приписано трейдеру TraderTraitor, также отслеживаемому как UNC4899, кластеру, связанному с группировкой Lazarus из Северной Кореи. След средств ведёт к государственному актору, в то время как судебный спор остаётся между Kelp и LayerZero.
Что это значит для других мостов? Ожидается, что капитал продолжит мигрировать в сторону конфигураций с несколькими верификаторами и провайдерами, таких как Chainlink CCIP, а провайдеры инфраструктуры пересмотрят условия обслуживания и отказы от ответственности. «Кто верифицирует ваш мост?» теперь является вопросом должной осмотрительности, а не послеобдумыванием.