Evercrest Technologies（KelpDAO 的母公司）就 4 月 18 日导致 116,500 枚 rsETH（约合 2.92 亿美元）被转走的漏洞事件，起诉了 LayerZero Labs 及其联合创始人，指控该桥接器的单一验证器配置曾经过书面审查和背书。这是 DeFi 协议首次将其自身的基础设施提供商诉诸法庭，这也使其行业最古老的口号接受审判。
2.92 亿美元的 DeFi 桥接责任诉讼终结了“代码即法律”
关键要点
- KelpDAO 的母公司 Evercrest Technologies 就 4 月 18 日导致 116,500 rsETH（约 2.92 亿美元）被盗的漏洞，对 LayerZero Labs 及其联合创始人 Bryan Pellegrino 提起诉讼，这是 2026 年最大的 DeFi 漏洞事件。
- 该索赔的关键在于 LayerZero 据称“以书面形式审查并认可”的 1-of-1 验证器设置，随后将其公开归因于 Kelp 自身的配置。
- 这是 DeFi 协议首次将其基础设施提供商诉诸法庭，直接挑战了“代码即法律”的原则。
- 攻击者与朝鲜的 Lazarus 集团有关联，但这场法律纠纷发生在两家有偿付能力的加密公司之间，争议焦点在于谁拥有那个薄弱环节。
一条伪造消息，2.92 亿美元，一个区块
2026 年 4 月 18 日，一条伪造的消息说服了一条跨链桥在一个区块内释放了 116,500 rsETH，价值约 2.92 亿美元。没有私钥被盗，也没有智能合约出现故障。代码完全按照指示执行；只是被指示了一个谎言。Kelp 的桥余额在该区块中从 116,723 rsETH 降至 223 rsETH，这意味着大约 18% 的流通 rsETH 供应量离开了该桥。
9月24日，KelpDAO的母公司Evercrest Technologies在不列颠哥伦比亚省最高法院对LayerZero Labs及其联合创始人Bryan Pellegrino提起民事诉讼。在一份文件中，DeFi最古老的口号获得了一个庭审日期。
当代码出错时，“代码即法律”意味着什么？
"代码即法律"是加密货币十年来一直奉行的基本原则：没有交易对手，没有法院，没有人为错误，只有数学。跨链桥本应是这一理念最纯粹的表达。在一个链上锁定代币，在另一个链上铸造等值代币，并由验证者而非人类来执行规则。“无需信任”始终只是一个半真半假的说法，因为必须有人来操作验证者，以确认代币是否已被实际销毁，然后才能在别处释放等量代币。
在Kelp的案例中，这个“某人”是LayerZero，具体来说是一个1-of-1去中心化验证器网络（DVN）。从实际角度来看，一个验证器就横亘在一条传入消息与2.92亿美元释放之间。没有第二意见，也没有交叉核对。这种单一信任点构成了整个事件的核心：攻击并未破坏桥接，而是毒化了桥接所依赖的唯一传感器。
桥接失败时，谁受益，谁受损？
赢家很容易点名。首先是法院和外部顾问。Chainlink 的 CCIP 是 Kelp 在五月迁移到的替代方案，获得了广告预算难以买到的曝光度：Solv Protocol 将约 7 亿美元的 SolvBTC 从 LayerZero 转移，而 Lombard（总锁仓价值为 21 亿美元）紧随其后。每次重大损失成为头条新闻后，保险和审计公司都会获得新业务。每个已经运行多验证器冗余的协议相比之下更具吸引力。
损失方同样清晰。LayerZero 的声誉遭受了直接打击，而 Aave 在攻击者存入伪造的 rsETH 并以此抵押借出真实资产后，背负着估计在 1.237 亿美元至 2.301 亿美元之间的坏账。最安静的牺牲品是强硬的非追索权立场，即 DeFi 中的损失是最终的，没有人欠任何人任何东西。一家加密公司现在表明，即使是该行业的构建者也不接受这种框架。
二阶效应可能比上述任何影响都更重要。“经书面审查和认可”这一短语现在成为一种法律工具。基础设施提供商的文档、内部聊天记录和直接消息都可能成为潜在的取证证据。在十二个月内，跨链行业出现一波重写服务条款的浪潮将是一个不足为奇的结果。
这种情况以前发生过吗？
并非如此。2022年，Wormhole损失了3.25亿美元，Jump Crypto在几天内就让用户获得了全额赔偿，没有经过法庭，也没有互相推诿。2023年，Multichain损失了约15亿美元，其首席执行官在中国被捕，资金被冻结，且没有剩余的交易对手可供起诉。2022年，Ronin损失了6.25亿美元，并通过协调一致的后备支持机制得以解决。DeFi的应对策略是非此即彼：要么悄悄救助，要么公开崩溃。没有第三种选择。
Kelp的主张引入了第三种可能。两家偿付能力充足的加密货币公司正请求法院裁定谁拥有这个薄弱环节：是部署桥接协议的协议方，还是其单一验证者签署伪造消息的基础设施提供商。LayerZero最初表示其协议“完全按预期运行”，用户不应依赖单一DVN，随后又承认“允许我们的DVN作为高价值交易的1-of-1 DVN是一个错误”。Kelp指出，LayerZero在2024年底或2025年初曾向另一家开发者USDT0发出过关于验证者风险的警告，但未向Kelp传递相同的警告。这种不对称性正是诉讼所要审查的内容。
桥接责任在未来一到三年内将走向何方？
预计“问责基础设施”将成为一个产品类别：法律包装、DAO法律实体、链上保险，以及明确写入集成协议的问责条款。“谁验证你的桥？”将与“谁审计你的代码”一起列入机构尽职调查清单。桥接运营商在交易清算完成的那一刻即免除责任这一假设已不再成立。
第二种力量并行运行。就在Kelp提起诉讼的那一周，纽约州就赌博问题起诉了Polymarket，这提醒我们，州与行业之间的争端正沿着自己的轨道加速发展。监管机构会将加密行业内部的诉讼视为一份路线图：当行业无法就责任归属达成一致时，法院和监管机构将填补这一真空。私下解决这些问题的时代正在结束，因为损失规模已变得过于庞大，而交易对手方现在也足够强大，足以对此提出异议。
市场参与者应从中学到什么
这不是一篇关于价格的故事，也不应被解读为价格故事。它改变了风险评估的方式。首先，单点故障值得重新评估：资金持续流向多验证者、多提供商的架构，而仍运行单一 DVN 的协议仍承受着市场尚未充分定价的折价。其次，书面背书现在表现为或有负债；如果基础设施提供商背书了某种配置，该背书即构成对其的潜在索赔。第三，本案中的归因——对 LayerZero 开发者的社会工程学攻击，随后由与 Lazarus 相关的名为 TraderTraitor 的集群对其 RPC 基础设施进行投毒——描述的是一种 recurring、资金充足的攻击类别，而非孤立事件。具备制裁意识、合规的 DeFi 正成为真正的差异化优势，而非营销术语。
更深层的教训是，此次漏洞并非密钥泄露。而是基础设施投毒，这是一种智能合约审计无法发现的攻击类别。以审计过的合约作为起点和终点的安全论点，审视的是错误的层面。
没有人愿意回答的问题
最引人注目的细节并非 2.92 亿美元。而是两个都宣扬“代码即信任”的加密团队，如今正请求法院裁定谁信任了谁。当 DeFi 自身的构建者拒绝接受“代码即法律”作为答案时，市场的其他参与者也不应接受。真正的问题从来不是加密是否会发展出问责制，而是由谁来制定它：是法庭，还是本应取代法庭的 DAO。
FAQ
KelpDAO 漏洞发生了什么？2026 年 4 月 18 日，攻击者向保护 Kelp 的 LayerZero 桥的唯一验证者发送了一条伪造消息，导致其释放了 116,500 rsETH，价值约 2.92 亿美元，而源链上没有相应的销毁。Kelp 的桥余额在一个区块内从 116,723 rsETH 降至 223 rsETH。
KelpDAO 为何起诉 LayerZero？Kelp 指控 LayerZero “审查并以书面形式背书”了存在漏洞的 1-of-1 验证者设置，随后在损失发生后公开指责 Kelp 的配置，并指出 LayerZero 曾警告另一位开发者关于验证者风险，却从未警告 Kelp。该索赔主张虚假陈述过失、疏忽和诽谤。
“代码即法律”是否意味着无人承担责任？在实践中，并非如此。它通常意味着当代码出现故障时，用户需自行承担损失。这起诉讼表明，即使是行业自身的构建者也开始寻求救济途径：由法院来判定，当代码按其指令执行却基于虚假输入时，谁应对这一薄弱环节负责。
据信是谁拿走了资金？LayerZero 的事件报告援引 Mandiant 和 CrowdStrike 的数据，将入侵归因于 TraderTraitor（也被追踪为 UNC4899），这是一个与朝鲜 Lazarus 集团有关联的集群。资金流向指向国家行为体，而法庭上的争议则发生在 Kelp 和 LayerZero 之间。
这对其他跨链桥意味着什么？预计资金将继续向多验证者、多提供商的设置（如 Chainlink CCIP）迁移，并预计基础设施提供商将修订服务条款和免责声明。“谁验证你的跨链桥？”现在已成为尽职调查的问题，而非事后考虑的事项。