Разработчик Kelp DAO подал иск против LayerZero
24 сентября Evercrest Technologies, компания, стоящая за протоколом рестейкинга Kelp DAO, подала гражданский иск в Верховный суд Британской Колумбии, Канада. Ответчиками указаны LayerZero Labs Ltd., LayerZero Labs Canada Inc., а также сооснователь и генеральный директор Брайан Пеллегрино.
Истец требует привлечь ответчиков к ответственности за ущерб, связанный со взломом моста rsETH в апреле 2026 года. Evercrest также утверждает, что LayerZero и Пеллегрино неоднократно распространяли недостоверные заявления, перекладывая вину на Kelp DAO ради защиты собственной репутации. Эти обвинения не установлены судом. Пеллегрино отвергает иск, называя его необоснованным.
По версии Evercrest, сотрудничество с LayerZero началось в 2023 году для интеграции технологии Omnichain Fungible Token (OFT) в Kelp DAO. Компания утверждает, что LayerZero не ограничивалась предоставлением технической документации: её специалисты помогали с развёртыванием, консультировали по настройкам и поддерживали связь с инженерной командой проекта на протяжении разработки.
Переписка за 2024 год и начало 2025 года, на которую ссылаются публикации об иске, по утверждению Evercrest, показывает, что LayerZero считала приемлемой используемую Kelp DAO конфигурацию 1-of-1 DVN — с одной децентрализованной сетью верификации. Истец заявляет, что ему не рекомендовали перейти к нескольким независимым верификаторам и не сообщали о связанных с такой конфигурацией рисках.
Кроме того, Evercrest утверждает, что до взлома LayerZero предупреждала другого разработчика об опасностях стандартных конфигураций DVN, однако аналогичного предупреждения Kelp DAO не получила.
После атаки LayerZero указала на конфигурацию с одним верификатором как на причину, по которой поддельное сообщение было принято. Компания заявила, что последовательно рекомендовала партнёрам модель с несколькими DVN. Evercrest оспаривает эту позицию, считая её противоречащей предыдущим техническим обсуждениям, в ходе которых LayerZero, по версии истца, проверила и одобрила настройки.
В иске также утверждается, что Пеллегрино неоднократно возлагал ответственность на Kelp DAO в публикациях в X и Telegram, хотя знал или должен был знать, что эти заявления не соответствуют содержанию прежней технической переписки.
Evercrest указывает на взлом инфраструктуры LayerZero
Один из основных аргументов Evercrest заключается в том, что причиной инцидента стала компрометация инфраструктуры безопасности LayerZero, а не собственных систем или кода смарт-контрактов Kelp DAO. LayerZero признаёт взлом своей RPC-инфраструктуры, но настаивает, что реализовать атаку позволила конфигурация приложения с единственной сетью верификации.
Согласно официальному отчёту LayerZero, проникновение началось 6 марта 2026 года: злоумышленник с помощью социальной инженерии установил вредоносное ПО на компьютер разработчика. Похищенные данные сессии впоследствии позволили получить доступ к инфраструктуре, используемой для чтения данных блокчейна.
18 апреля атакующий нарушил работу внешних RPC-сервисов атакой типа «отказ в обслуживании». В результате сервис подписания DVN стал полагаться на скомпрометированные внутренние источники данных.
Подмена данных заставила верификатор подтвердить поддельное межсетевое сообщение, связанное с Unichain. Поскольку мосту было достаточно подтверждения одной DVN, дополнительная независимая проверка не потребовалась. Сообщение привело к неправомерной разблокировке 116 500 rsETH в Ethereum стоимостью около 292–293 млн долларов на момент атаки. Речь шла о выводе ранее заблокированных токенов, а не о выпуске новых rsETH. При этом конфигурация 1-of-1 DVN означает использование одной сети верификации, а не управление проверкой единственным административным приватным ключом.
По данным исходной публикации, Kelp DAO обнаружила инцидент примерно в течение часа и отключила свои мосты LayerZero. Команда также сообщала о мерах в отношении адреса атакующего и предотвращении дополнительной попытки вывода около 40 000 rsETH. Такие действия не означают возможность заморозить весь блокчейн-кошелёк злоумышленника.
Требования компенсации финансового и репутационного ущерба
Evercrest утверждает, что после взлома Kelp DAO пришлось направить значительные ресурсы на устранение последствий и восстановление обеспечения rsETH, тогда как отток пользовательских средств привёл к снижению выручки. В исходной публикации также сообщается о падении токена KERNEL и нарушении планов по развитию стейблкоина на фоне утраты доверия к проекту.
По мнению Evercrest, финансовые последствия усугубили публичные заявления LayerZero после атаки. Иск основан на обвинениях в неосторожном предоставлении недостоверной информации, небрежности и диффамации — распространении порочащих сведений. Пеллегрино указан в качестве ответчика лично в связи с его публичными комментариями.
Помимо возмещения ущерба, Evercrest требует дополнительной компенсации с учётом отягчающих обстоятельств, штрафных убытков, оплаты судебных расходов и других мер правовой защиты. Оценочная стоимость похищенных активов не является суммой компенсации, присуждённой судом.
Во время атаки 18 апреля из моста вывели около 116 500 rsETH без соответствующей законной транзакции в исходной сети. Впоследствии эти токены использовались для извлечения средств на других площадках.
Последствия распространились на экосистему DeFi, когда атакующий разместил rsETH в качестве залога на кредитных платформах. Это создало значительный риск необеспеченной задолженности на Aave. Оценки потенциальных потерь различались в зависимости от учёта затронутых rsETH и предположений о восстановлении обеспечения. Финансовые и операционные последствия атак также стали частью обсуждения будущего Balancer.
После инцидента Kelp DAO объявила о намерении перевести межсетевую инфраструктуру rsETH на Chainlink CCIP. В заявлении, сопровождавшем подачу иска, проект сообщил, что миграция продолжается.
LayerZero впоследствии признала недостатки своего подхода к конфигурациям с единственной сетью верификации и изменила операционную политику: её собственная DVN больше не должна выступать единственным обязательным верификатором канала. Тем не менее Evercrest утверждает, что компания не отозвала и не исправила прежние заявления, возлагавшие ответственность на Kelp DAO. Это стало основанием для обращения в суд с требованиями компенсации и определения юридической ответственности.
Пеллегрино отверг претензии и заявил, что намерен защищать свою позицию в Ванкувере. Стороны продолжают расходиться в оценке рекомендаций, предоставленных до взлома, и того, кто должен отвечать за возникшие убытки.
На момент снимка рынка от 25 сентября, приведённого в исходной публикации, ZRO торговался около 1,51 доллара, снизившись приблизительно на 2,4% за сутки. Эти показатели относятся к указанному моменту и не отражают текущую рыночную цену.
