Kelp DAO、LayerZero(ZRO)を提訴 — 2億9,200万ドルのrsETHハッキングを巡り提訴

Kelp DAOがLayerZeroを提訴

レストーキング・プロトコルのLayerZero(ZRO)に対し、レストーキングプロトコルのKelp DAOが2億9,200万ドルの損害を巡って法的手段に踏み切った。9月25日、Kelp DAOはLayerZero(ZRO)と共同創設者兼CEOのBryan Pellegrinoをカナダ・ブリティッシュコロンビア州最高裁判所に提訴した。訴訟はKelpの法人であるEvercrest Technologies Inc.を通じて提起され、プロトコル企業とともにPellegrino個人も被告とされている。訴状の中でKelp DAOは、LayerZeroが自社のクロスチェーン・メッセージング技術の欠陥を隠蔽し、セキュリティインフラへの攻撃者の侵入を食い止められなかったと主張し、この不備が2026年最大のDeFiハッキングを直接引き起こしたとしている。問題の発端は4月18日。攻撃者はLayerZeroのメッセージング層で保護されたブリッジを経由し、Kelpの流動性レストーキング・トークン(LRT)であるrsETHを約116,500トークンに上回る規模で引き出した。セキュリティ調査機関は後に、この窃盗をNorth KoreaのLazarus Group傘下のTraderTraitorに特定した。侵入は手順を踏んだものだった。ハッカーはまずLayerZeroの開発者アカウントをソーシャルエンジニアリングで狙ってセッションキーを奪取し、次に内部RPCクラウドノードを汚染しつつ外部ノードにDDoS攻撃を浴びせて、ブリッジを感染したデータ経路へ誘導した。偽造されたクロスチェーン・メッセージが流通する中、検証者は実際には発生していないrsETHのバーンを承認し、Ethereumコントラクトはそれに基づいて資金を解放した。被害は瞬く間に拡大した — AaveのTVL(預入資産総額)は2日間で84.5億ドル減少し、主要チェーンのDeFi流動性プールにロックされた担保資産は幅広く減少した。

1つの検証者、2つの主張

訴訟の核心は、ブリッジのセキュリティが1つの検証者に依存していたのか、複数に依存していたのかという設定上の選択に集約される。Kelp DAO側は、1-of-1の分散型検証者ネットワーク(DVN)構成 — すなわち単一の検証主体 — がLayerZero自身の公式ドキュメントとクイックスタートガイドにおけるデフォルト設定であったと主張し、LayerZeroチームがデプロイを書面で確認・承認したと訴えている。これに対し、LayerZeroとPellegrinoは数ヶ月にわたり逆の立場を展開してきた。すなわち、Kelpがより安全な複数検証者構成から手動で単一検証者構成へ格下げし、ハッカーが突いたまさにその単一障害点を自ら作り出したというものだ。Kelp DAOは9月25日、公式Xアカウントを通じて提訴を公表し、訴訟の提起を発表したが、防衛側の反応は辛辣だった。Pellegrinoはこの訴訟を「meritless(理由不備)」と一蹴し、バンクーバーの法廷で全面的に争う意向を表明した。一方、Kelp DAOはセキュリティ面ですでに対応を済ませている。ハッキング後、同プロトコルはrsETHのブリッジング・インフラを、より堅牢と判断した競合のクロスチェーン・メッセージング規格であるChainlink CCIPへ移行した。資金回収も訴訟の係争事項と絡んでいる。5月には米国の裁判所命令により、ハッカーから凍結した30,766 ETHをArbitrum DAOが動かすことが差し止められ、この資金は新たなカナダ訴訟と並行して係争中にある。 市場をリアルタイムで追いたい読者は、Bitgetで現物・先物価格をライブで確認できる。

訴訟の提起を発表https://x.com/KelpDAO/status/2103332910128599327

ブリッジの責任範囲を問う裁判

COINOTAGの分析:ブリティッシュコロンビア州最高裁判所に係属した今回の訴訟は、単一のブリッジを巡る二者間の争いにとどまらない。争点となっている書面による承認の有無について裁判所がどのような判断を下すにせよ、本件はクライアントのデプロイ上で実行されたハッキングについて、クロスチェーン・インフラ提供者がどこまで責任を負うのか、そしてデフォルト設定には黙示的な保証が伴うのかを定めるものとなる。CEO個人を被告に列挙したことは、法人としての責任のみならず、個人の責任を試みるKelp DAOの意図を示している。この法的リスクは、通常の供給メカニクスにも重くのしかかる。LayerZero(ZRO)は9月20日に2,571万トークン(約2,600万ドル相当)をロック解除しており、バンクーバーの法廷日程がアルトコイン・インフラセクターにおけるブリッジ・ハッキング訴訟の早期テンプレートとなる中、発行体の動向が引き続き注目される。