Kelp DAO kiện LayerZero và CEO Bryan Pellegrino, cáo buộc hạ tầng của LayerZero là nguyên nhân gây ra vụ hack, yêu cầu bồi thường thiệt hại.
Kelp DAO kiện LayerZero và CEO Bryan Pellegrino sau vụ hack 293 triệu USD
Kelp DAO khởi kiện LayerZero
Vào ngày 24/09, Evercrest Technologies, công ty phát triển giao thức restaking Kelp DAO, đã nộp đơn kiện dân sự lên Tòa án Tối cao British Columbia (Canada) nhằm vào LayerZero Labs, LayerZero Labs Canada và đồng sáng lập kiêm CEO Bryan Pellegrino.
— Kelp (@KelpDAO) September 25, 2026
Đơn kiện dài 17 trang yêu cầu tòa án buộc LayerZero phải chịu trách nhiệm đối với những thiệt hại phát sinh từ vụ hack cầu nối rsETH hồi tháng 04/2026, đồng thời cáo buộc LayerZero và CEO Bryan Pellegrino đã liên tục đưa ra các phát ngôn sai sự thật, đổ lỗi cho Kelp DAO nhằm bảo vệ danh tiếng của chính mình.
Cụ thể, Evercrest bắt đầu làm việc với LayerZero từ năm 2023 để tích hợp công nghệ Omnichain Fungible Token (OFT) cho Kelp DAO. LayerZero khi đó không chỉ cung cấp tài liệu kỹ thuật mà còn trực tiếp hỗ trợ triển khai, tư vấn cấu hình và duy trì liên lạc với đội ngũ kỹ thuật của dự án trong suốt quá trình phát triển.
Các trao đổi từ năm 2024 đến đầu năm 2025 được Evercrest dẫn lại trong đơn kiện cho thấy LayerZero từng đánh giá cấu hình 1-of-1 DVN mà Kelp DAO sử dụng là phù hợp, đồng thời không yêu cầu dự án chuyển sang mô hình nhiều bên xác nhận hay đưa ra cảnh báo về những rủi ro bảo mật liên quan.
Đáng chú ý, đơn kiện cho biết LayerZero từng nhiều lần cảnh báo một số dự án khác về rủi ro của cấu hình 1-of-1 DVN nhưng lại không đưa ra cảnh báo tương tự cho Kelp DAO.
Tuy nhiên, sau vụ hack, dự án này lại cho rằng chính việc Kelp DAO sử dụng cấu hình này là nguyên nhân dẫn đến sự cố, đồng thời khẳng định họ luôn khuyến nghị các đối tác sử dụng nhiều bên xác nhận để tăng tính an toàn. Lập luận này là hoàn toàn mâu thuẫn với những trao đổi kỹ thuật trước vụ hack, khi LayerZero từng trực tiếp xem xét và chấp thuận cấu hình mà Kelp DAO sử dụng.
Đơn kiện cũng cáo buộc CEO Bryan Pellegrino nhiều lần đăng tải nội dung trên X và Telegram quy trách nhiệm cho Kelp DAO, dù ông biết hoặc phải biết những phát biểu này không phản ánh đúng các trao đổi kỹ thuật trước đây.
Hacker tấn công hạ tầng của LayerZero, không phải Kelp DAO
Một trong những điểm quan trọng nhất trong đơn kiện là lập luận cho rằng vụ hack không xuất phát từ smart contract hay hệ thống của Kelp DAO, mà từ hạ tầng bảo mật do LayerZero vận hành.
Evercrest cho biết hacker đã xâm nhập vào hệ thống của LayerZero từ tháng 03/2026 thông qua một cuộc tấn công social engineering, cài mã độc lên máy tính của một nhân viên có quyền truy cập hạ tầng bảo mật. Sau đó, tin tặc kiểm soát các RPC nội bộ mà mạng lưới DVN sử dụng để đọc dữ liệu blockchain.
Đến ngày 18/04/2026, hacker tiếp tục thực hiện cuộc tấn công DDoS nhằm làm gián đoạn các RPC bên ngoài. Khi đó, hệ thống xác thực của LayerZero buộc phải dựa hoàn toàn vào các RPC nội bộ đã bị kiểm soát.
Lợi dụng lỗ hổng này, hacker đã gửi dữ liệu giả để DVN tin rằng 116.500 rsETH đã được khóa trên Unichain, dù giao dịch này chưa từng diễn ra. Do cầu nối của Kelp DAO chỉ sử dụng mô hình DVN 1-of-1, chỉ cần 1 private key quản trị phê duyệt là hợp lệ, thông điệp giả mạo được xác thực mà không cần thêm bất kỳ bên xác nhận nào khác, cho phép hacker phát hành trái phép 116.500 rsETH trên Ethereum, tương đương khoảng 292-293 triệu USD tại thời điểm xảy ra vụ việc.
KelpDAO đã nhanh chóng phát hiện sự cố trong vòng khoảng một giờ, lập tức vô hiệu hóa toàn bộ bridge LayerZero của Kelp DAO, đóng băng ví hacker và ngăn chặn thêm một đợt khai thác khác có thể khiến dự án mất thêm khoảng 40.000 rsETH.
Yêu cầu bồi thường vì thiệt hại tài chính và danh tiếng
Vụ hack đã khiến Kelp DAO phải bỏ ra nguồn lực lớn để xử lý sự cố và khôi phục tài sản bảo chứng cho rsETH, trong khi làn sóng rút tiền của người dùng kéo theo doanh thu sụt giảm. Giá token KERNEL cũng giảm mạnh sau sự cố, còn một số kế hoạch phát triển sản phẩm stablecoin bị đình trệ vì khủng hoảng niềm tin.
Thiệt hại cũng không chỉ đến từ vụ hack mà còn bị khuếch đại bởi những phát ngôn của LayerZero sau sự cố. Vì vậy, Evercrest yêu cầu LayerZero và Bryan Pellegrino bồi thường dựa trên ba cáo buộc chính: cung cấp thông tin sai lệch do bất cẩn, cung cấp dịch vụ cẩu thả và phỉ báng gây tổn hại danh tiếng.
Ngoài các khoản bồi thường, Evercrest cũng yêu cầu tòa án xem xét áp dụng punitive damages (bồi thường mang tính trừng phạt), thanh toán chi phí tố tụng cùng các biện pháp khắc phục khác.
Như Coin68 đưa tin, Kelp DAO đã bị hacker khai thác cầu nối rsETH vào ngày 18/04/2026, khiến khoảng 116.500 rsETH, tương đương gần 293 triệu USD, bị phát hành trái phép rồi bán ra thị trường.
Sự cố nhanh chóng lan rộng sang toàn hệ sinh thái DeFi khi hacker sử dụng lượng rsETH này làm tài sản thế chấp trên nhiều giao thức lending, tạo ra hàng trăm triệu USD nợ xấu trên Aave.
Sau vụ việc, Kelp DAO quyết định chấm dứt hợp tác với LayerZero, chuyển toàn bộ hạ tầng cross-chain sang Chainlink CCIP.
Về phía LayerZero, dự án đã công khai xin lỗi về cách xử lý khủng hoảng, thừa nhận đã phạm sai lầm khi cho phép mô hình 1-of-1 DVN được sử dụng cho các ứng dụng nắm giữ lượng tài sản lớn. Tuy nhiên, LayerZero lại không thu hồi hoặc sửa đổi các phát biểu quy trách nhiệm cho Kelp DAO trước đó, buộc Evercrest quyết định đưa vụ việc ra tòa để yêu cầu bồi thường và làm rõ trách nhiệm pháp lý.
Giá ZRO ngay sau thông tin trên được công bố không có quá nhiều biến động, giảm nhẹ 2,4% trong 24 giờ qua và hiện đang dao động quanh 1,51 USD.
Biến động giá ZRO trong 24 giờ qua, ảnh chụp màn hình trên CoinGecko lúc 03:10 PM ngày 25/09/2026
Coin68 tổng hợp
