Evercrest Technologies บริษัทแม่ของ KelpDAO ได้ยื่นฟ้อง LayerZero Labs และผู้ร่วมก่อตั้งหนึ่งรายเกี่ยวกับการโจมตีเมื่อวันที่ 18 เมษายน ซึ่งทำให้ rsETH จำนวน 116,500 โทเค็นสูญหาย คิดเป็นมูลค่าประมาณ $292 ล้านดอลลาร์ โดยอ้างว่าโครงสร้างการตรวจสอบแบบเดียวของสะพานได้รับการทบทวนและรับรองเป็นลายลักษณ์อักษร นี่เป็นครั้งแรกที่โปรโตคอล DeFi นำผู้ให้บริการโครงสร้างพื้นฐานของตนเองขึ้นศาล และเป็นการนำคำขวัญที่เก่าแก่ที่สุดของภาคส่วนนี้ขึ้นสู่การพิจารณา
คดีความรับผิดของสะพาน DeFi มูลค่า $292 ล้านดอลลาร์คร่าชีวิตคำขวัญ "โค้ดคือกฎหมาย"
ข้อสรุปสำคัญ
- บริษัทแม่ของ KelpDAO คือ Evercrest Technologies ได้ยื่นฟ้อง LayerZero Labs และผู้ร่วมก่อตั้ง Bryan Pellegrino กรณีเกิดเหตุโจมตีเมื่อวันที่ 18 เมษายน ซึ่งทำให้ rsETH จำนวน 116,500 เหรียญถูกดึงออกไป คิดเป็นมูลค่าประมาณ 292 ล้านดอลลาร์ นับเป็นเหตุโจมตี DeFi ที่ใหญ่ที่สุดในปี 2026
- ข้อกล่าวอ้างนี้ขึ้นอยู่กับโครงสร้างการตรวจสอบแบบ 1-of-1 ซึ่ง LayerZero allegedly "ได้ทบทวนและรับรองเป็นลายลักษณ์อักษร" จากนั้นได้เปิดเผยว่าเป็นการกำหนดค่าของ Kelp เอง
- นี่เป็นครั้งแรกที่โปรโตคอล DeFi ได้ดำเนินคดีกับผู้ให้บริการโครงสร้างพื้นฐานของตนเอง เป็นการท้าทายหลักการ "โค้ดคือกฎหมาย" โดยตรง
- ผู้โจมตีมีความเชื่อมโยงกับกลุ่ม Lazarus ของเกาหลีเหนือ แต่ข้อพิพาททางกฎหมายเกิดขึ้นระหว่างบริษัทคริปโตสองแห่งที่มีความมั่นคงทางการเงิน โดยโต้แย้งว่าใครกันแน่ที่เป็นจุดอ่อน
หนึ่งข้อความปลอม, 292 ล้านดอลลาร์, หนึ่งบล็อก
เมื่อวันที่ 18 เมษายน 2026 ข้อความปลอมเพียงข้อความเดียวทำให้สะพานข้ามเชนปล่อย rsETH จำนวน 116,500 เหรียญ ซึ่งมีมูลค่าประมาณ 292 ล้านดอลลาร์ ออกมาในหนึ่งบล็อก ไม่มีคีย์ส่วนตัวใดถูกขโมย และไม่มีข้อบกพร่องในสัญญาอัจฉริยะ โค้ดทำงานตามที่สั่งไว้พอดี; เพียงแต่ถูกสั่งให้ทำในสิ่งที่ผิดพลาด ยอดคงเหลือของ Kelp ในสะพานลดลงจาก 116,723 rsETH เหลือเพียง 223 rsETH ในบล็อกนั้น ซึ่งหมายความว่า rsETH ในวงหมุนเวียนประมาณ 18 เปอร์เซ็นต์ได้ออกจากสะพาน
เมื่อวันที่ 24 กันยายน Evercrest Technologies บริษัทแม่ของ KelpDAO ได้ยื่นคำร้องคดีแพ่งต่อ LayerZero Labs และผู้ร่วมก่อตั้ง Bryan Pellegrino ที่ศาลสูงสุดแห่งบริติชโคลัมเบีย ในเอกสารฟ้องร้องฉบับเดียว สโลแกนเก่าแก่ที่สุดของ DeFi ได้รับการกำหนดวันพิจารณาในศาล
คำว่า "โค้ดคือกฎหมาย" มีความหมายอย่างไรเมื่อโค้ดนั้นผิดพลาด?
"โค้ดคือกฎหมาย" เป็นสมมติฐานพื้นฐานของคริปโตมากว่าทศวรรษ: ไม่มีคู่สัญญา ไม่มีศาล ไม่มีข้อผิดพลาดของมนุษย์ มีเพียงคณิตศาสตร์ สะพานข้ามเชนควรเป็นการแสดงออกที่บริสุทธิ์ที่สุดของแนวคิดนั้น ล็อกโทเค็นบนเชนหนึ่ง สร้างโทเค็นที่เทียบเท่ากันบนอีกเชนหนึ่ง และให้ผู้ตรวจสอบแทนที่จะเป็นมนุษย์บังคับใช้กฎ "ไร้ความไว้วางใจ" เป็นความจริงเพียงครึ่งหนึ่งเสมอ เพราะต้องมีใครสักคนดำเนินการผู้ตรวจสอบที่ตรวจสอบว่าโทเค็นถูกเผาไหม้จริงก่อนจะปล่อยโทเค็นที่เทียบเท่ากันไปยังที่อื่น
ในกรณีของ Kelp คนนั้นคือ LayerZero โดยเฉพาะเครือข่ายผู้ตรวจสอบแบบกระจายศูนย์ 1 จาก 1 หรือ DVN ในทางปฏิบัติ ผู้ตรวจสอบเพียงคนเดียวอยู่ระหว่างข้อความที่เข้ามาและการปล่อยเงิน 292 ล้านดอลลาร์ ไม่มีความเห็นที่สองและการตรวจสอบข้าม ผู้พึ่งพาเพียงจุดเดียวคือเรื่องราวทั้งหมด: การโจมตีไม่ได้ทำลายสะพาน แต่ได้ปนเปื้อนเซ็นเซอร์เพียงตัวเดียวที่สะพานพึ่งพา
ใครได้เปรียบและใครเสียเปรียบเมื่อสะพานล้มเหลว?
ผู้ชนะนั้นระบุชื่อได้ง่าย ศาลและที่ปรึกษาภายนอกเป็นอันดับแรก CCIP ของ Chainlink ทางเลือกที่ Kelp ย้ายไปใช้ในเดือนพฤษภาคม ได้รับ visibilité ที่งบประมาณโฆษณาหาได้ยาก: Solv Protocol ย้าย SolvBTC ออกจาก LayerZero ประมาณ 700 ล้านดอลลาร์ และ Lombard ซึ่งมีมูลค่ารวมที่ถูกล็อก (TVL) 2.1 พันดอลลาร์ ก็ตามมา บริษัทประกันภัยและตรวจสอบธุรกิจได้รับธุรกิจใหม่หลังการสูญเสียแต่ละครั้ง โปรโตคอลที่ทำงานอยู่ก่อนแล้วด้วยระบบผู้ตรวจสอบหลายตัวมีความน่าดึงดูดมากขึ้นเมื่อเปรียบเทียบกัน
ผู้แพ้ก็ชัดเจนไม่แพ้กัน ชื่อเสียงของ LayerZero รับแรงกระแทกโดยตรง และ Aave มีหนี้เสียประมาณ 123.7 ล้านดอลลาร์ถึง 230.1 ล้านดอลลาร์ หลังจากผู้โจมตีฝาก rsETH ปลอมและกู้สินทรัพย์จริงโดยใช้สิ่งนั้นเป็นหลักประกัน ผู้เสียหายที่เงียบที่สุดคือตำแหน่งแบบไม่มีการเรียกร้องความรับผิดชอบ (no-recourse position) ซึ่งเป็นการโต้แย้งว่าในการเงินแบบกระจายศูนย์ (DeFi) การสูญเสียเป็นสิ่งที่สิ้นสุดและไม่มีใครเป็นหนี้ใคร บริษัทคริปโตแห่งหนึ่งได้แสดงให้เห็นแล้วว่า แม้แต่ผู้สร้างในอุตสาหกรรมเองก็ไม่ยอมรับกรอบความคิดดังกล่าว
ผลกระทบทางอ้อมอาจสำคัญกว่าสิ่งใด ๆ ทั้งหมด ประโยค "ได้รับการทบทวนและรับรองเป็นลายลักษณ์อักษร" ได้กลายเป็นเครื่องมือทางกฎหมาย เอกสาร บันทึกการแชทภายใน และข้อความโดยตรงจากผู้ให้บริการโครงสร้างพื้นฐานอาจเป็นหลักฐานในการเปิดเผยข้อมูล การเปลี่ยนแปลงเงื่อนไขการให้บริการใหม่ทั่วทั้งอุตสาหกรรมข้ามเชนภายในสิบสองเดือนจะเป็นผลลัพธ์ที่ไม่น่าประหลาดใจ
เหตุการณ์นี้เคยเกิดขึ้นมาก่อนหรือไม่?
ไม่ในรูปแบบนี้ ในปี 2022 Wormhole สูญเสีย 325 ล้านดอลลาร์ และ Jump Crypto ชดเชยผู้ใช้ให้ครบถ้วนภายในไม่กี่วัน โดยไม่มีศาลและไม่มีเกมการโยนความผิด ในปี 2023 Multichain สูญเสียประมาณ 1.5 พันล้านดอลลาร์ ประธานเจ้าหน้าที่บริหารถูกจับกุมในจีน และเงินยังคงถูกแช่แข็งโดยไม่มีคู่สัญญาให้ฟ้องร้อง ในปี 2022 Ronin สูญเสีย 625 ล้านดอลลาร์ และได้รับการแก้ไขผ่านมาตรการรองรับที่ประสานงานกัน คู่มือการเล่นของ DeFi เป็นแบบทวิภาคี: การช่วยเหลืออย่างเงียบ ๆ หรือการล่มสลายอย่างดัง ไม่มีตัวเลือกที่สาม
ข้อเรียกร้องของ Kelp นำเสนอตัวเลือกที่สาม บริษัทคริปโตที่มีสภาพคล่องสองแห่งกำลังขอให้ศาลตัดสินว่าใครเป็นเจ้าของจุดอ่อน: โปรโตคอลที่ปรับใช้สะพานเชื่อม หรือผู้ให้บริการโครงสร้างพื้นฐาน whose ผู้ตรวจสอบเพียงรายเดียวลงนามรับรองข้อความปลอม LayerZero ในตอนแรกกล่าวว่าโปรโตคอลของทำงาน "ตามที่ตั้งใจไว้พอดี" และผู้ใช้ไม่ควรพึ่งพา DVN เพียงรายเดียว จากนั้นต่อมาได้ยอมรับว่า "ทำผิดพลาดโดยอนุญาตให้ DVN ของเราทำหน้าที่เป็น DVN แบบ 1 จาก 1 สำหรับธุรกรรมมูลค่าสูง" Kelp ระบุว่า LayerZero ได้เตือนนักพัฒนาอีกคนหนึ่งชื่อ USDT0 เกี่ยวกับความเสี่ยงของผู้ตรวจสอบในปลายปี 2024 หรือต้นปี 2025 แต่ไม่ได้ส่งคำเตือนเดียวกันให้ Kelp ความไม่สมมาตรนี้คือสิ่งที่การฟ้องร้องมีไว้เพื่อตรวจสอบ
ความรับผิดของสะพานเชื่อมจะมุ่งหน้าไปในทิศทางใดในหนึ่งถึงสามปี?
คาดหวังว่า "โครงสร้างพื้นฐานด้านความรับผิดชอบ" จะกลายเป็นหมวดหมู่ผลิตภัณฑ์: โครงสร้างทางกฎหมาย, สหกรณ์ DAO ทางกฎหมาย, การประกันภัยบนเชน, และข้อกำหนดความรับผิดชอบที่ชัดเจนที่เขียนไว้ในข้อตกลงการผสานรวม "ใครเป็นผู้ตรวจสอบสะพานของคุณ?" จะเข้าร่วมในรายการตรวจสอบความระมัดระวังของสถาบัน alongside "ใครเป็นผู้ตรวจสอบโค้ดของคุณ?" สมมติฐานที่ว่าผู้ดำเนินการสะพานได้รับการปลดจากความรับผิดชอบทันทีที่การทำรายการเสร็จสิ้น
แรงผลักดันอีกแรงหนึ่งทำงานไปพร้อมกัน ในสัปดาห์เดียวกันที่ Kelp ยื่นคำร้อง นิวยอร์กฟ้อง Polymarket ในข้อหาการพนัน ซึ่งเป็นเครื่องเตือนใจว่าความขัดแย้งระหว่างรัฐกับอุตสาหกรรมกำลังเร่งตัวขึ้นในเส้นทางของมันเอง ผู้กำกับดูแลจะอ่านคดีความระหว่างคริปโตกับคริปโตเป็นแผนที่: เมื่ออุตสาหกรรมไม่สามารถตกลงกันเรื่องความรับผิดชอบ ศาลและหน่วยงานจะเข้ามาเติมเต็มช่องว่างนั้น ยุคของการแก้ไขประเด็นเหล่านี้โดยส่วนตัวกำลังจะสิ้นสุดลง เนื่องจากความสูญเสียมีขนาดใหญ่ขึ้นและคู่สัญญาตอนนี้มีขนาดใหญ่พอที่จะโต้แย้งได้แล้ว
สิ่งที่ผู้เข้าร่วมตลาดควรได้รับจากเรื่องนี้
นี่ไม่ใช่เรื่องราวของราคา และไม่ควรอ่านในลักษณะนั้น มันเปลี่ยนวิธีการประเมินความเสี่ยง ประการแรก จุดล้มเหลวเดี่ยวสมควรได้รับการประเมินใหม่: เงินทุนยังคงเคลื่อนย้ายไปสู่การตั้งค่าที่มีผู้ตรวจสอบหลายรายและผู้ให้บริการหลายราย และโปรโตคอลที่ยังคงใช้ DVN เดียวยังคงมีส่วนลดที่ตลาดไม่ได้คิดราคาไว้เต็มประการ ประการที่สอง การรับรองเป็นลายลักษณ์อักษรตอนนี้ทำหน้าที่เหมือนหนี้สินที่มีเงื่อนไข: หากผู้ให้บริการโครงสร้างพื้นฐานให้การรับรองการกำหนดค่าหนึ่งๆ การรับรองนั้นจะเป็นข้อเรียกร้องที่เป็นไปได้ต่อผู้ให้บริการนั้น ประการที่สาม การระบุสาเหตุในคดีนี้ ซึ่งเป็นการวิศวกรรมสังคมของนักพัฒนา LayerZero ตามด้วยการปนเปื้อนโครงสร้างพื้นฐาน RPC ของมันโดยกลุ่มที่เชื่อมโยงกับ Lazarus ซึ่งรู้จักกันในชื่อ TraderTraitor อธิบายถึงคลาสการโจมตีที่เกิดขึ้นซ้ำๆ และมีเงินทุนสนับสนุนอย่างดี แทนที่จะเป็นเหตุการณ์ที่เกิดขึ้นครั้งเดียว DeFi ที่ตระหนักถึงมาตรการคว่ำบาตรและปฏิบัติตามกฎระเบียบกำลังกลายเป็นจุดแตกต่างที่แท้จริง แทนที่จะเป็นเพียงคำศัพท์ทางการตลาด
บทเรียนที่ลึกซึ้งกว่านั้นคือ การถูกโจมตีไม่ได้เกิดจากการที่คีย์ส่วนตัวถูกบุกรุก แต่เป็นการปนเปื้อนโครงสร้างพื้นฐาน (infrastructure poisoning) ซึ่งเป็นประเภทของการโจมตีที่การตรวจสอบความปลอดภัยของสัญญาอัจฉริยะ (smart contract audit) ไม่สามารถตรวจจับได้ หากสมมติฐานด้านความปลอดภัยของคุณเริ่มต้นและสิ้นสุดที่สัญญาอัจฉริยะที่ได้รับการตรวจสอบแล้ว คุณกำลังตรวจสอบชั้นที่ผิด
คำถามที่ไม่มีใครอยากตอบ
รายละเอียดที่บ่งบอกได้ชัดเจนที่สุดไม่ใช่จำนวนเงิน 292 ล้านดอลลาร์ แต่เป็นความจริงที่ว่าทีมคริปโตสองทีมที่ต่างก็ประกาศความเชื่อใน "โค้ดคือกฎหมาย" ตอนนี้กำลังขอให้ศาลตัดสินว่าใครไว้วางใจใคร เมื่อผู้สร้าง DeFi เองปฏิเสธที่จะยอมรับว่า "โค้ดคือกฎหมาย" เป็นคำตอบ ตลาดอื่นๆ ก็ไม่ควรทำเช่นกัน คำถามที่แท้จริงไม่เคยเป็นเรื่องว่าคริปโตจะพัฒนาความรับผิดชอบได้หรือไม่ แต่เป็นเรื่องว่าใครจะเป็นผู้กำหนดมัน: ศาลยุติธรรม หรือ DAO ที่ควรจะมาแทนที่ศาล
FAQ
เกิดอะไรขึ้นกับการถูกโจมตี KelpDAO? เมื่อวันที่ 18 เมษายน 2026 ผู้โจมตีได้ป้อนข้อความปลอมให้กับผู้ตรวจสอบ (verifier) เพียงรายเดียวที่รักษาความปลอดภัยให้กับสะพาน LayerZero ของ Kelp ทำให้เกิดการปล่อย rsETH จำนวน 116,500 เหรียญ ซึ่งมีมูลค่าประมาณ 292 ล้านดอลลาร์ โดยไม่มีการเผา (burn) เหรียญที่เทียบเท่ากันบนต้นทาง ยอดคงเหลือในสะพานของ Kelp ลดลงจาก 116,723 rsETH เหลือเพียง 223 rsETH ในหนึ่งบล็อก
ทำไม KelpDAO จึงฟ้อง LayerZero? Kelp กล่าวหาว่า LayerZero "ได้ตรวจสอบและรับรองเป็นลายลักษณ์อักษร" สำหรับการตั้งค่าผู้ตรวจสอบแบบ 1 จาก 1 ที่มีความเปราะบาง จากนั้นจึงกล่าวโทษการตั้งค่าของ Kelp ต่อสาธารณะหลังเกิดเหตุสูญเสีย และระบุว่า LayerZero ได้เตือนนักพัฒนาอีกคนหนึ่งเกี่ยวกับความเสี่ยงของผู้ตรวจสอบ แต่ไม่ได้เตือน Kelp ข้อกล่าวหานี้ฟ้องร้องในฐานความรับผิดจากการแสดงข้อความอันเป็นเท็จโดยประมาท ความประมาทเลินเล่อ และการหมิ่นประมาท
"โค้ดคือกฎหมาย" หมายความว่าไม่มีใครต้องรับผิดชอบหรือไม่? ในทางปฏิบัติ ไม่ใช่ โดยทั่วไปหมายความว่าเมื่อโค้ดทำงานผิดพลาด ผู้ใช้จะเป็นผู้รับภาระความเสียหายเอง คดีความนี้แสดงให้เห็นว่าแม้ผู้สร้างในอุตสาหกรรมเองก็คาดหวังสิทธิในการเรียกร้องชดเชย: นั่นคือให้ศาลเป็นผู้ตัดสินว่าใครเป็นเจ้าของจุดอ่อนเมื่อโค้ดทำงานตามที่สั่ง แต่ได้รับคำสั่งที่ผิดพลาด
ใครเป็นผู้ถูกเชื่อว่านำเงินไป? รายงานเหตุการณ์ของ LayerZero ซึ่งอ้างอิงข้อมูลจาก Mandiant และ CrowdStrike ระบุว่าเหตุการบุกรุกนี้กระทำโดย TraderTraitor ซึ่งยังถูกติดตามในชื่อ UNC4899 ซึ่งเป็นกลุ่มที่เชื่อมโยงกับกลุ่ม Lazarus ของเกาหลีใต้ เส้นทางของเงินนำไปสู่การกระทำโดยรัฐ ในขณะที่ข้อพิพาทในศาลยังคงเกิดขึ้นระหว่าง Kelp และ LayerZero
สิ่งนี้หมายถึงอะไรสำหรับสะพานอื่นๆ? คาดว่าเงินทุนจะยังคงย้ายไปสู่การตั้งค่าที่ใช้ผู้ตรวจสอบหลายรายและผู้ให้บริการหลายราย เช่น Chainlink CCIP และคาดว่าผู้ให้บริการโครงสร้างพื้นฐานจะทบทวนข้อกำหนดการให้บริการและข้อความปฏิเสธความรับผิดชอบ คำถามว่า "ใครเป็นผู้ตรวจสอบสะพานของคุณ?" ได้กลายเป็นคำถามด้านการตรวจสอบความถูกต้องตามขั้นตอน (due-diligence) แทนที่จะเป็นสิ่งที่คิดทีหลัง