Kelp DAO、LayerZero(ZRO)を提訴 — 2億9,200万ドルのrsETHハッキングを巡り提訴

Kelp DAOがLayerZeroを提訴

リステーキング・プロトコルのKelp DAOが、2億9,200万ドル規模の損害を法廷に持ち込んだ。9月25日、Kelpはクロスチェーンメッセージング技術を巡る争いの当事者であるLayerZero(ZRO)と、同社の共同創業者でCEOのBryan Pellegrinoを相手取り、カナダ・ブリティッシュコロンビア州最高裁判所に訴訟を提起したのである。提訴はKelpの法務主体であるEvercrest Technologies Inc.の名義で行われ、プロトコル会社に加えてPellegrino個人も被告とされた。

訴状の主張はこうだ。LayerZeroは自社のクロスチェーンメッセージング技術に存在する欠陥を隠蔽し、攻撃者がセキュリティ基盤へ侵入するのを阻止できなかった——そしてこの二重の過失が、2026年で最大級のDeFiハッキングを直接招いた、というものである。発端は4月18日に遡る。攻撃者はLayerZeroのメッセージング層で保護されたブリッジを経由し、Kelpのリキッドリステーキング・トークンrsETHを約116,500枚引き出した。セキュリティ調査は後に、この窃取を北朝鮮Lazarus Groupの下部組織であるTraderTraitorの仕業と結論づけている。侵入の手口は組織的だった。ハッカーはまずLayerZeroの開発者アカウントをソーシャルエンジニアリングで攻略してセッションキーを取得し、次に内部RPCクラウドノードを汚染しつつ外部ノードにはDDoS攻撃を浴びせて、ブリッジの通信経路を侵害済みの経路へ強制的に誘導した。偽造されたクロスチェーンメッセージが流通した結果、検証者は実際には存在しないrsETHのバーンを承認し、Ethereumのコントラクトはその承認に基づいて資金を放出した。影響は即座に波及した。Aaveのロックされた総価値(TVL)は2日間で84億5,000万ドル減少し、主要チェーンではDeFiの流動性プールにロックされた担保が広く目減りしたのである。

1つの検証者、2つの主張

訴訟の核心には、たった一つの設定選択が横たわる。ブリッジのセキュリティが検証者1体に依存していたのか、複数体に依存していたのか、という問題だ。Kelp側は、1-of-1の分散型検証者ネットワーク(DVN)——すなわち検証主体が単一という構成——がLayerZero自身のドキュメントとクイックスタートガイドにおいてデフォルトオプションとして提示されていたこと、さらにLayerZeroチームが当該デプロイを書面でレビューし、是認したこと主張する。対照的にLayerZeroとPellegrino側は数か月にわたり正反対の説明を展開してきた。より安全な複数検証者の構成を、Kelpが推奨された実践から外れ、手動で単一検証者の構成へ格下げしたことで、ハッカーが突いたまさにその単一障害点を自ら生み出したのだ、という立場である。Kelp DAOは9月25日、公式Xアカウントで提訴を公表したが、防御側の反応は辛辣だった。Pellegrinoはこの訴えを「根拠がない(meritless)」と一蹴し、バンクーバーの法廷で全力で争う意向を明言している。その一方でKelpはセキュリティ面で既に行動済みだ。ハッキング後、プロトコルはrsETHのブリッジ基盤を、より堅牢と判断した競合のクロスチェーンメッセージング標準であるChainlink CCIPへ移行した。資金回収も訴訟に絡んでいる。5月、米国の裁判所命令により、ArbitrumのDAOがハッカーから凍結した30,766 ETHの移動が差し止められており、この資産は新たなカナダでの手続きと並行して扱われることになる。市場をリアルタイムで追いたい読者は、Bitgetで現物および先物の価格をライブ配信で確認できる。

@KelpDAO · Xの投稿

訴訟の発表.

Xで見る

ブリッジに対する責任の試金石

（10:51 UTC 時点） 提訴そのものが、争点に新たな詳細を付け加えている。民事請求通知の日は9月24日で、過失による虚偽表示、過失、名誉毀損の3つの請求原因が列挙されており、名誉毀損の件については加重損害賠償および懲罰的損害賠償が併せて求められている。請求額は特定されていないものの、Evercrestに対しハッキングとLayerZeroの公的声明により「数千万ドル規模の損害」が生じたと主張している。Kelpの主張によれば、LayerZeroは2024年2月、2024年3月、そして2025年1月に書面メッセージで1-of-1検証者構成を是認し、一時期は別の単一検証者ブリッジを模倣するよう助言したという。さらに、LayerZeroはUSDT0に対してはデフォルト設定のリスクを警告したのに、Kelpには同様の警告をしなかったと指摘する。提訴では侵害の起点も2025年3月6日と特定され、LayerZeroの開発者のコンピュータにマルウェアが仕込まれた日時とされている。ハッキング後には6億5,000万ドルを超える資金がユーザーから引き出され、KelpはrsETHの裏付けを回復するため2,000 ETHをステーキングしたという。(本稿執筆時点:10:51 UTC)COINOTAG分析:ブリティッシュコロンビア州最高裁判所に係属したこの訴えは、一つのブリッジを巡る二者間の紛争にとどまらない。争われている書面による是認の有無についてどのような判断が下されようとも、本件はクライアント側のデプロイ上で実行されたエクスプロイトに対し、クロスチェーンインフラ提供者がどこまで責任を負うか、そしてデフォルト設定が暗黙の保証を伴うか否かを画定するうえで先例となる。CEO個人を名指しで被告としたことは、法人責任のみならず個人の責任追及をKelpが目指していることを示す。さらに、日常的な供給メカニクスも法的な不透明感に上塗りされる形になった。9月20日、LayerZero(ZRO)は約2,600万ドル相当の2,571万トークンのアンロックを実施しており、バンクーバーの法廷がアルトコイン・インフラ分野におけるブリッジ・エクスプロイト訴訟の初期テンプレートとなりつつある中、発行動向が注目され続けるだろう。