Kelp DAO kiện LayerZero cùng đồng sáng lập Bryan Pellegrino, cho rằng giao thức cross-chain này là nguyên nhân dẫn đến vụ tấn công bridge rsETH trị giá 292 triệu USD hồi tháng 04.
Giao thức restaking cho rằng LayerZero đã che giấu các lỗ hổng trong công nghệ của chính mình. Ngoài ra, Kelp DAO còn cáo buộc LayerZero không ngăn chặn được hacker xâm nhập hệ thống bảo mật của họ.
Bên trong vụ tấn công rsETH trị giá 292 triệu USD
Vào ngày 18/04/2026, hacker đã rút khoảng 116,500 rsETH (token restaking của Kelp DAO) thông qua cầu LayerZero. Đây đã trở thành vụ hack DeFi lớn nhất năm 2026. Sau đó, LayerZero xác định nhóm tấn công liên quan đến Lazarus, nhánh TraderTraitor.
LayerZero cho biết hacker đã kiểm soát được số lượng lớn node remote procedure call (RPC) và gửi dữ liệu giả mạo tới trình xác thực của bridge. Các máy chủ này dùng để truyền dữ liệu blockchain tới các ứng dụng phi tập trung.
Kết quả là, trình xác thực đã nhầm lẫn xác nhận lệnh đốt rsETH dù thực tế không diễn ra. Hợp đồng trên Ethereum sau đó đã tự động trả quỹ cho giao dịch này.
Tuy nhiên, LayerZero cho rằng nguyên nhân đến từ phía Kelp DAO khi chỉ sử dụng một trình xác thực duy nhất do LayerZero Labs vận hành (cấu hình 1-of-1) cho cây cầu này.
Thiệt hại lan rộng rất nhanh. Tổng giá trị khóa (TVL) của Aave giảm 8.45 tỷ USD chỉ trong hai ngày, đồng thời TVL toàn thị trường DeFi cũng lao dốc trên nhiều blockchain lớn.
Kelp DAO đâm đơn kiện LayerZero sau nhiều tháng đổ lỗi qua lại
Kelp DAO cho biết trong nhiều tháng qua, phía LayerZero cùng Pellegrino thường xuyên công khai đổ lỗi toàn bộ trách nhiệm lên họ. Trong khi đó, đội ngũ Kelp khẳng định LayerZero đã xem xét và xác nhận cấu hình của cầu bridge bằng văn bản.
Kelp DAO hiện công khai đơn kiện và muốn yêu cầu LayerZero cùng Pellegrino chịu trách nhiệm cho thiệt hại không chỉ với Kelp DAO mà còn cả với toàn bộ hệ sinh thái DeFi.
Đội ngũ nhấn mạnh rằng bảo mật cho người dùng luôn là ưu tiên hàng đầu. Sau vụ hack, Kelp cho biết đang chuyển bridge rsETH sang một tiêu chuẩn cross-chain an toàn hơn. Trước đó, Kelp đã chọn Chainlink CCIP thay thế, vốn là hệ thống truyền thông báo cross-chain cạnh tranh với LayerZero.
Song song đó, việc thu hồi tài sản bị đánh cắp vẫn tiếp tục qua tòa án. Vào tháng 05/2026, một phán quyết của tòa án Hoa Kỳ đã ngăn Arbitrum DAO chuyển 30,766 ETH vốn đã bị phong tỏa từ hacker trước đó.
Kelp DAO cho biết họ sẵn sàng đối chất tại tòa. Bằng việc kiện LayerZero, Kelp DAO có thể giúp xác lập tiền lệ về việc các nhà cung cấp hạ tầng liệu có phải chịu trách nhiệm khi xảy ra sự cố của khách hàng hay không.
