KelpDAO'nun ana şirketi Evercrest Technologies, 18 Nisan'da 116.500 rsETH'yi (yaklaşık 292 milyon dolar) boşaltan istismar nedeniyle LayerZero Labs ve bir ortak kurucuyu mahkemeye verdi; köprünün tek doğrulayıcı yapılandırmasının yazılı olarak incelendiği ve onaylandığını iddia ediyor. Bir DeFi protokolünün kendi altyapı sağlayıcısını mahkemeye verdiği ilk kez gerçekleşiyor ve sektörün en eski sloganı yargıç karşısına çıkıyor.
"292 Milyon Dolarlık DeFi Köprüsü Sorumluluk Davası 'Kod Kanundur' Sloganını Sonlandırdı"
Temel Çıkarımlar
- KelpDAO'nun ana şirketi Evercrest Technologies, 18 Nisan'da 116.500 rsETH'yi (yaklaşık 292 milyon dolar) boşaltan istismar nedeniyle LayerZero Labs ve ortak kurucu Bryan Pellegrino'yu mahkemeye verdi; bu, 2026'nın en büyük DeFi istismarıydı.
- İddia, LayerZero'un "yazılı olarak incelediğini ve onayladığını" iddia ettiği ve ardından Kelp'in kendi yapılandırmasına atfettiği 1-of-1 doğrulayıcı kurulumuna dayanıyor.
- Bir DeFi protokolünün kendi altyapı sağlayıcısını mahkemeye verdiği ilk kez yaşanıyor; bu durum, "kod kanundur" ilkesine doğrudan bir meydan okuma.
- Saldırgan, Kuzey Kore'nin Lazarus Grubu ile bağlantılı görünüyor, ancak hukuki uyuşmazlık, zayıf halkadan kimin sorumlu olduğunu tartışan iki solvent kripto şirketi arasında.
Bir sahte mesaj, 292 milyon dolar, bir blok
18 Nisan 2026'da, tek bir sahte mesaj, bir çapraz zincir köprüsünü bir blokta 116.500 rsETH, yaklaşık 292 milyon dolar değerinde serbest bırakmaya ikna etti. Hiçbir özel anahtar çalınmadı ve hiçbir akıllı sözleşme arızalanmadı. Kod tam olarak emredildiği gibi çalıştı; sadece yalan söylendi. Kelp'in köprü bakiyesi, o blokta 116.723 rsETH'den 223 rsETH'ye düştü, bu da dolaşımdaki rsETH arzının yaklaşık yüzde 18'inin köprüden ayrıldığı anlamına geliyor.
24 Eylül'de KelpDAO'nun ana şirketi Evercrest Technologies, British Columbia Yüksek Mahkemesi'nde LayerZero Labs ve ortak kurucu Bryan Pellegrino'ya karşı medeni bir dava açtı. Tek bir dosyayla, DeFi'nin en eski sloganına mahkeme tarihi verildi.
"Kod kanundur" ifadesi, kod yanlış olduğunda ne anlama gelir?
"Kod kanundur" kripto para sektörünün on yıldır devam eden temel varsayımıydı: karşı taraf yok, mahkeme yok, insan hatası yok, sadece matematik var. Bir köprü, bu fikrin en saf ifadesi olarak tasarlanmıştır. Bir zincirde bir tokenı kilitleyin, diğerinde eşdeğerini oluşturun ve kuralları insanlar yerine doğrulayıcılar uygulasin. "Güvensiz" her zaman yarım doğruydu, çünkü tokenların gerçekten yakılıp yakılmadığını kontrol eden doğrulayıcıyı kimse işletmek zorundadır.
Kelp'in durumunda, bu kişi LayerZero idi, özellikle 1-of-1 merkeziyetsiz doğrulayıcı ağı veya DVN. Pratikte, tek bir doğrulayıcı, gelen bir mesaj ile 292 milyon doların serbest bırakılması arasında duruyordu. İkinci bir görüş ve çapraz kontrol yoktu. Bu tek bir güven noktası tüm hikayeyi anlatır: saldırı köprüyü kırmadı, köprünün güvendiği tek sensörü zehirledi.
Bir köprü başarısız olduğunda kim kazanır ve kim kaybeder?
Kazananları isimlendirmek kolaydır. Öncelikle mahkemeler ve dış danışmanlar. Kelp'in Mayıs ayında geçtiği alternatif olan Chainlink'in CCIP'i, reklam bütçelerinin nadiren satın alabileceği görünürlük kazandı: Solv Protocol, LayerZero'dan yaklaşık 700 milyon dolarlık SolvBTC'yi çıkardı ve 2,1 milyar dolar toplam kilitli değere sahip Lombard da takip etti. Sigorta ve denetim firmaları her başlık kaybından sonra yeni işler kazanır. Çoklu doğrulayıcı yedekliliği zaten çalışan her protokol, buna göre daha çekici hale geldi.
Kaybedenler de aynı kadar nettir. LayerZero'nun itibarı doğrudan darbe aldı ve Aave, saldırganın sahte rsETH'i yatırıp bunun karşılığında gerçek varlıkları ödünç aldıktan sonra tahminen 123,7 milyon dolardan 230,1 milyon dolara kadar kötü borç taşımaktadır. En sessiz mağdur, sert bir şekilde geri dönüşü olmayan pozisyon, DeFi'de kayıpların nihai olduğu ve kimsenin kimseden bir şey borçlu olmadığı argümanıdır. Bir kripto şirketi, sektörün kendi yapımcılarının bile bu çerçeveyi kabul etmediğini gösterdi.
İkinci dereceden etki, bunların hepsinden daha önemli olabilir. "Yazılı olarak incelendi ve onaylandı" ifadesi artık bir hukuki araçtır. Belgeler, dahili sohbet kayıtları ve altyapı sağlayıcılarından gelen doğrudan mesajlar potansiyel keşif delilleridir. On iki ay içinde çapraz zincir endüstrisi genelinde yeniden yazılan hizmet şartları dalgası olağan bir sonuç olurdu.
Bu daha önce oldu mu?
Bu formatta hayır. 2022'de Wormhole 325 milyon dolar kaybetti ve Jump Crypto, mahkeme salonu ve suçlama oyununa gerek kalmadan, kullanıcıları birkaç gün içinde tam olarak tazmin etti. 2023'te Multichain yaklaşık 1,5 milyar dolar kaybetti, başkanı Çin'de tutuklandı ve fonlar, davayı açacak bir karşı taraf kalmadan donmuş halde kaldı. 2022'de Ronin 625 milyon dolar kaybetti ve koordineli destek mekanizmaları aracılığıyla çözüme kavuşturuldu. DeFi'nin oyun kitabı ikiliydi: sessiz bir kurtarma veya gürültülü bir çöküş. Üçüncü bir seçenek yoktu.
Kelp'in iddiası bir seçenek daha sunuyor. İki likit kripto şirketi, zayıf halkayı kimin sahip olduğunu mahkemenin karar vermesini istiyor: köprüyi dağıtan protokol mü, yoksa sahte bir mesajı imzalayan tek doğrulayıcıya sahip olan altyapı sağlayıcısı mı? LayerZero başlangıçta protokolünün "tam olarak amaçlandığı gibi çalıştığını" ve kullanıcıların tek bir DVN'e güvenmemesi gerektiğini söyledi, daha sonra "yüksek değerli işlemler için DVN'imizin 1-of-1 DVN olarak hareket etmesine izin vererek bir hata yaptığını" kabul etti. Kelp, LayerZero'nun son 2024 veya erken 2025'te ayrı bir geliştirici olan USDT0'ya doğrulayıcı riskleri konusunda uyarıda bulunduğunu, ancak bu uyarıyı Kelp'e iletmediğini belirtiyor. Bu asimetri, davanın incelenmesini sağlıyor.
Köprü sorumluluğu bir ila üç yıl içinde nereye evriliyor?
"Sorumluluk altyapısı"nın bir ürün kategorisi haline geleceğini bekleyin: hukuki sarmallar, DAO hukuki varlıkları, zincir üstü sigorta ve entegrasyon anlaşmalarına açıkça yazılmış sorumluluk maddeleri. "Köprüyünüzü kim doğruluyor?" ifadesi, "kodunuzu kim denetliyor?" ile birlikte kurumsal uygunluk denetimi listelerine katılıyor. Bir işlem onaylandığı anda köprü operatörünün sorumluluktan muaf tutulduğu varsayımı sona eriyor.
İkinci bir güç paralel olarak işliyor. Kelp'in dosya sunduğu aynı hafta New York, Polymarket'e karşı kumar iddiasıyla dava açtı; bu, eyalet-sanayi anlaşmazlıklarının kendi yörüngesinde hızlandığına dair bir hatırlatma. Düzenleyiciler, kripto-kripto davalarını bir yol haritası olarak okuyacak: Sektör sorumluluk konusunda hemfikir olamadığında, mahkemeler ve ajanslar boşluğu dolduruyor. Bu tür meseleleri özel olarak çözme dönemi bitiyor çünkü kayıplar çok büyümüş ve karşı taraflar artık bunlara itiraz edecek kadar önemli hale gelmiş durumda.
Piyasa katılımcılarının bundan ne çıkarması gerektiği
Bu bir fiyat hikayesi değil ve öyle okunmamalı. Riskin nasıl değerlendirilmesi gerektiğini değiştiriyor. İlk olarak, tek bir başarısızlık noktası yeniden değerlendirilmeyi hak ediyor: Sermaye çoklu doğrulayıcı, çoklu sağlayıcı kurulumlara doğru akış gösteriyor ve tek bir DVN (Dağıtık Doğrulayıcı Ağı) kullanan protokoller, piyasanın henüz tam olarak fiyatlamadığı bir iskonto taşıyor. İkinci olarak, yazılı destekler artık koşullu yükümlülük gibi davranıyor; bir altyapı sağlayıcısı bir yapılandırmayı desteklediğinde, bu destek ona karşı potansiyel bir talep oluşturur. Üçüncü olarak, bu davada atıf yapılan şey, bir LayerZero geliştiricisinin sosyal mühendisliğe maruz kalması ve ardından Lazarus'a bağlı TraderTraitor olarak bilinen bir kümenin RPC altyapısını zehirlemesi; bu, tek seferlik bir olaydan ziyade tekrarlayan, iyi finanse edilmiş bir saldırı sınıfını tanımlıyor. Yaptırımlara duyarlı, uyumlu DeFi, bir pazarlama teriminden gerçek bir ayırt edici özelliğe dönüşüyor.
Daha derin ders, açığın bir anahtar ihlali olmadığıydı. Altyapı zehirlenmesi, akıllı sözleşme denetiminin ortaya çıkarmadığı bir saldırı sınıfıydı. Denetlenmiş sözleşmelerle başlayıp biten bir güvenlik tezi, yanlış katmanı inceliyor.
Hiçbirinin cevap vermek istemediği soru
En anlamlı detay 292 milyon dolar değil. Kod güveninden yana olan iki kripto ekibinin, şimdi bir mahkemeye kimin kime güvendiğine karar vermesini istemesi. DeFi'in kendi yapımcıları "kod kanundur" ifadesini bir cevap olarak kabul etmeyi reddettiğinde, piyasanın geri kalanı da öyle yapmamalı. Asıl soru, kripto'nun hesap verebilirlik geliştireceği değil, onu kim yazacaktı: Bir mahkeme mi, yoksa birini değiştirmesi beklenen DAO mı?
FAQ
KelpDAO saldırısında ne oldu? 18 Nisan 2026'da saldırganlar, Kelp'in LayerZero köprüsünü koruyan tek doğrulayıcıya sahte bir mesaj besleyerek, kaynak zincirinde karşılık gelen bir yakma işlemi olmadan 116.500 rsETH (yaklaşık 292 milyon dolar) serbest kalmasına neden oldu. Kelp'in köprü bakiyesi tek bir blokta 116.723 rsETH'den 223 rsETH'ye düştü.
Neden KelpDAO LayerZero'yu dava ediyor? Kelp, LayerZero'nun zafiyetli 1'e 1 doğrulayıcı kurulumunu "inceleme ve yazılı olarak onayladığını", ardından kayıptan sonra Kelp'in yapılandırmasını kamuya açık şekilde suçladığını ve LayerZero'nun başka bir geliştiriciyi doğrulayıcı riskleri konusunda uyardığını ancak Kelp'i uyarmadığını iddia ediyor. İddianame, hatalı beyan, ihmalkarlık ve iftira suçlamalarını içeriyor.
"Kod kanundur" ifadesi kimseyi sorumlu tutulmaz mı anlamına mı geliyor? Pratikte hayır. Genel olarak, kod başarısız olduğunda kaybı kullanıcının karşıladığı anlamına gelmiştir. Bu dava, sektörün kendi yapımcılarının bile artık yasal yollara başvurmayı beklediğini gösteriyor: Kodun emredildiği gibi çalıştığı ancak yalan söylendiği durumda zayıf halkadan kimsenin sorumlu olduğunu belirlemek için bir mahkeme.
Fonları kimin aldığı düşünülüyor? Mandiant ve CrowdStrike'e atıfta bulunan LayerZero'nun olay raporu, sızmayı Kuzey Kore'nin Lazarus Grubu ile bağlantılı bir küme olan TraderTraitor (UNC4899 olarak da izleniyor) olarak nitelendirdi. Fonların izi bir devlet aktörüne götürürken, mahkeme davası Kelp ve LayerZero arasında devam ediyor.
Bu diğer köprüler için ne anlama geliyor? Sermayenin Chainlink CCIP gibi çoklu doğrulayıcı ve çoklu sağlayıcı kurulumlara doğru akışının devam edeceğini ve altyapı sağlayıcılarının hizmet şartları ve feragatnameleri gözden geçireceğini bekleyin. "Köprünüzü kim doğruluyor?" sorusu artık bir sonradan düşünce değil, bir ön inceleme sorusu haline geldi.