KelpDAO 控告 LayerZero 疏忽導致 2.92 億美元橋接器遭駭

KelpDAO 的開發公司 Evercrest Technologies 於本週向英屬哥倫比亞省最高法院提起民事訴訟，控告跨鏈協議 LayerZero、其加拿大子公司 LayerZero Labs Canada Inc. 以及聯合創辦人 Bryan Pellegrino，指控其在今年 4 月份價值約 2.92 億美元的橋接器（bridge）遭駭事件中存在過失性不實陳述、過失與誹謗，並求償加重及懲罰性賠償。

這起訴訟將原本就圍繞著責任歸屬的爭議推向了新的階段。KelpDAO 指控 LayerZero 在事發前，曾書面「背書」了導致此次損失的橋接器配置，並未充分揭露其技術風險，甚至在事後透過社群媒體發布的聲明與個人貼文，將責任歸咎於 KelpDAO 的橋接器配置，構成誹謗。

KelpDAO 與 LayerZero 責任歸屬爭議

根據 Evercrest Technologies 在訴訟中提出的指控，此次駭客攻擊的源頭，可追溯至駭客在攻擊發生前六週，於 LayerZero 開發者電腦植入惡意軟體，並篡改了 LayerZero 的節點（nodes），使其向驗證網路（verifier network）傳遞錯誤資訊。KelpDAO 的橋接器採用了 LayerZero 指示的 1-of-1 設定，意即僅依賴 LayerZero 的驗證網路來確認資產在鏈上的鎖定狀態，進而鑄造另一條鏈上的對應資產。然而，在 4 月 18 日，駭客透過操縱 LayerZero 的節點，讓驗證網路誤以為 Unichain 上已鎖定了 116,500 個 rsETH，但實際上並未發生，導致橋接器鑄造了無擔保的 rsETH。

Evercrest 在訴狀中指出，LayerZero 在 2024 年 2 月曾向其表示，草擬的程式碼「很好」，使用預設配置「沒有問題」。到了同年 3 月，LayerZero 更明確指示 KelpDAO 採用其自有驗證網路作為 1-of-1 設定。然而，訴訟文件顯示，LayerZero 在 2024 年底或 2025 年初，曾向另一位開發者 USDT0 警告過其預設驗證配置的風險，促使該開發者自行運行驗證網路，但 KelpDAO 卻未收到類似警告。

在駭客攻擊發生後，LayerZero 的事件聲明指出，單一驗證者設定與其「一貫建議所有整合夥伴採用的多節點驗證模型（multi-DVN model）」相悖，而 Bryan Pellegrino 也在社群媒體上發文表示「沒有人應該依賴單一節點驗證者」。訴訟文件則進一步指控，LayerZero 在幾天後承認「允許其節點作為高價值交易的 1-of-1 節點是一個錯誤」。

KelpDAO 尋求賠償，包括用於恢復 rsETH 價值的 2,000 ETH 貢獻、自駭客攻擊以來被提取的超過 6.5 億美元資產，以及因駭客攻擊導致 KERNEL 代幣價值下跌，引發監管機構與交易所的警告等損失。

LayerZero 聯合創辦人 Bryan Pellegrino 已公開回應，稱此訴訟「一直毫無根據」，並表示將在溫哥華與 KelpDAO 對簿公堂。目前，訴訟中的所有指控均未經法院審驗，LayerZero 也尚未提交正式答辯。

事件時間線與發展脈絡

今年 4 月 18 日，KelpDAO 的 rsETH 橋接器發生駭客攻擊，導致 116,500 rsETH 被盜，當時價值約 2.92 億美元。攻擊者利用了 LayerZero 系統的漏洞，偽造了跨鏈訊息，並在 LayerZero 的驗證網路批准後，將 rsETH 轉移。LayerZero 在事後報告中指出，攻擊者滲透了其內部節點，並導致其驗證者批准了一個偽造的跨鏈訊息。LayerZero 認為，此次損失之所以可能發生，是因為 KelpDAO 的橋接器僅依賴單一 LayerZero 分散式驗證網路（DVN）作為唯一的驗證路徑。LayerZero 表示，已建議使用多個 DVN，並停止作為應用程式唯一的必要驗證者。

KelpDAO 對此說法提出質疑，並在 5 月份表示，其 DVN 配置先前已與 LayerZero 討論過，並「被確認為安全」。KelpDAO 同時指責 LayerZero 未能充分警告其潛在風險。隨後，KelpDAO 宣布計劃將 rsETH 橋接器遷移至 Chainlink 的跨鏈互操作性協議（CCIP）。

Evercrest Technologies 在 2026 年 9 月 25 日於英屬哥倫比亞省最高法院提起民事訴訟，指控 LayerZero 過失性不實陳述、過失與誹謗。LayerZero 聯合創辦人 Bryan Pellegrino 在同日表示，將在法庭上辯護此毫無根據的指控。

後續觀察重點

此訴訟的發展將是觀察 DeFi 領域跨鏈橋安全與協議間責任劃分的重要節點。KelpDAO 的指控若成立，可能促使其他 DeFi 協議更加謹慎地審查其依賴的基礎設施，並要求供應商更透明地揭露潛在風險。另一方面，LayerZero 在法庭上的辯護策略，以及法院的判決，也將對未來類似的跨鏈安全事件定下判例。此外，KelpDAO 計劃將 rsETH 橋接器遷移至 Chainlink CCIP 的進展，也將是觀察其如何尋求更安全、更可靠的跨鏈解決方案的關鍵。