Kelp DAO đã kiện LayerZero và người đồng sáng lập là Bryan Pellegrino, cáo buộc giao thức liên chuỗi là nguyên nhân dẫn đến vụ khai thác cầu rsETH trị giá 292 triệu USD vào tháng 4.
Giao thức restaking cho rằng LayerZero đã che giấu các lỗ hổng trong chính công nghệ của mình. Ngoài ra, giao thức này cũng khẳng định LayerZero đã không ngăn được những kẻ tấn công xâm nhập vào hệ thống bảo mật của mình.
Bên trong vụ khai thác rsETH trị giá 292 triệu USD
Vào ngày 18 tháng 4, kẻ tấn công đã rút cạn khoảng 116.500 rsETH, token restaking thanh khoản của Kelp DAO, thông qua cầu LayerZero. Vụ trộm đã trở thành vụ khai thác DeFi lớn nhất của năm 2026. Sau đó, LayerZero liên kết cuộc tấn công với nhóm Lazarus TraderTraitor.
LayerZero cho biết kẻ tấn công đã chiếm quyền kiểm soát đủ số node gọi thủ tục từ xa (RPC) để đưa dữ liệu sai vào bộ xác minh của cầu. Các máy chủ này chuyển tiếp dữ liệu blockchain đến các ứng dụng.
Kết quả là bên xác minh đã phê duyệt một lệnh đốt rsETH chưa từng xảy ra. Sau đó, hợp đồng Ethereum đã giải phóng tiền theo lệnh này.
Tuy nhiên, LayerZero lại chỉ vào cách thiết lập của Kelp. Cầu này dựa vào một bên xác minh duy nhất do LayerZero Labs vận hành, theo cấu hình 1-trên-1.
Thiệt hại lan nhanh. Tổng giá trị bị khóa (TVL) của Aave giảm 8,45 tỷ USD trong vòng hai ngày, và TVL DeFi sụt giảm trên diện rộng ở nhiều chuỗi lớn.
Kelp DAO kiện LayerZero sau nhiều tháng đổ lỗi
Kelp hiện cho biết LayerZero và Pellegrino đã dành nhiều tháng để công khai đổ lỗi cho giao thức. Ngược lại, nhóm cho rằng LayerZero đã rà soát và chấp thuận bản triển khai cũng như cấu hình của họ bằng văn bản.
Giao thức đã công bố đơn khiếu nại và muốn quy trách nhiệm cho LayerZero và Pellegrino đối với những thiệt hại đối với Kelp cũng như hệ sinh thái DeFi rộng lớn hơn.
Nhóm cho biết việc bảo mật người dùng vẫn là ưu tiên hàng đầu. Kể từ sau vụ hack, Kelp cho biết họ đã và đang chuyển cầu rsETH sang một chuẩn liên chuỗi an toàn hơn. Trước đó, giao thức từng nêu Chainlink CCIP là phương án thay thế, một hệ thống nhắn tin liên chuỗi đối thủ.
https://t.co/D17UbUbixh
— Kelp (@KelpDAO) ngày 25 tháng 9 năm 2026
Trong khi đó, việc thu hồi số tiền bị đánh cắp cũng đã được đưa ra tòa. Vào tháng Năm, một lệnh của tòa án Mỹ đã ngăn Arbitrum DAO chuyển 30.766 ETH mà tổ chức này đã phong tỏa từ kẻ tấn công.
Kelp cho biết họ mong chờ một ngày được xét xử. Do đó, bằng việc kiện LayerZero, Kelp DAO có thể biến vụ việc thành một bài kiểm tra sớm về mức độ các nhà cung cấp hạ tầng chịu trách nhiệm cho các lỗ hổng trong triển khai của khách hàng.