Et av de dyreste bro-hackene i DeFi-historien har nå flyttet seg fra blokkjeden til rettssalen. Protokollen KelpDAO, gjennom sitt juridiske selskap Evercrest Technologies Inc., leverte 24. september 2026 et søksmål mot LayerZero Labs og konsernets medgründer og toppsjef Bryan Pellegrino. Bakgrunnen er aprilhacket som tømte rsETH-broen for rundt 292 millioner dollar, i det som regnes som årets største kryptoutnyttelse så langt.
Saken er ikke bare nok et oppgjør etter et hack. Den er et tidlig testtilfelle for et spørsmål bransjen har unngått å svare på i årevis: Hvem bærer ansvaret når en DeFi-protokoll bygger på infrastruktur den ikke selv kontrollerer, og den infrastrukturen svikter? For nordiske investorer og utviklere som bruker kryptovaluta og cross-chain-broer daglig, er svaret alt annet enn teoretisk.
Søksmålet i korte trekk
Evercrest Technologies, selskapet bak KelpDAO, leverte sitt “notice of civil claim” ved Supreme Court of British Columbia i Canada. Saksøkte er LayerZero Labs Ltd., det kanadiske søsterselskapet LayerZero Labs Canada Inc., og Bryan Pellegrino personlig. KelpDAO bekreftet søksmålet offentlig på X 25. september, samme dag som flere kryptomedier omtalte saken.
«I dag anla vi søksmål mot LayerZero og medgründer Bryan Pellegrino for å rette opp skadene knyttet til utnyttelsen av rsETHs LayerZero-bro tidligere i år», skrev KelpDAO i innlegget på X. Protokollen hevder at tapet på 292 millioner dollar ikke skyldtes en feil i egne smartkontrakter, men svikt i sikkerhetsarkitekturen til LayerZero.
Søksmålet lister opp flere krav: uaktsom villedende fremstilling, uaktsomhet, og ærekrenkelse knyttet til uttalelser LayerZero og Pellegrino skal ha kommet med etter hacket. KelpDAO ber ikke om et enkelt, fastsatt beløp, men peker på flere tapsposter, blant annet en rekapitalisering på 2.000 ETH, over 650 millioner dollar i kundeuttak i kjølvannet av hendelsen, tapte gebyrinntekter, verdifall på token KERNEL, nedleggelse av stablecoin-hvelvet sbUSD og forsinkelser i et planlagt stablecoin-produkt.
Tidslinjen: fra hacket i april til søksmålet i september
Det som endte i en kanadisk rettssal i september, begynte etter det som er rapportert som et målrettet angrep mot en enkeltperson tidligere i 2026. Ifølge saksdokumentene skal skadevare ha blitt plassert på datamaskinen til en LayerZero-utvikler allerede 6. mars 2026, lenge før selve bro-uttrekket fant sted.
Det avgjørende angrepet kom 18. april 2026. Angripere skal ha brukt den kompromitterte tilgangen til å manipulere interne RPC-noder, altså infrastrukturen som formidler kommunikasjon mellom LayerZero og de underliggende blokkjedene. Dette gjorde det mulig å deaktivere uavhengige verifiseringsnoder og få KelpDAOs bro til å godta en falsk transaksjon. Resultatet var at rundt 116.500 rsETH, verdt omtrent 292 millioner dollar på hackingtidspunktet, ble sluppet ut på Ethereum uten at den tilsvarende sikkerheten faktisk var låst på Unichain.
I månedene etter hacket fulgte en offentlig skyttergravskrig mellom partene, der begge sider pekte på hverandre. 24. september leverte Evercrest/KelpDAO så det formelle søksmålet, og 25. september ble saken offentlig kjent gjennom KelpDAOs eget innlegg og Pellegrinos svar på samme plattform.
Slik fungerte rsETH-angrepet teknisk
KelpDAOs bro mellom Ethereum og Unichain var satt opp med det LayerZero kaller et “1-av-1 Decentralized Verifier Network” (DVN). I praksis betyr dette at kun én enkelt aktør, i dette tilfellet et verifiseringssystem driftet av LayerZero, hadde ansvaret for å bekrefte at en melding om låste eiendeler var ekte før broen frigjorde tilsvarende verdi på den andre siden.
Når angriperne fikk kontroll over den underliggende RPC-infrastrukturen, kunne de få denne ene verifisereren til å godkjenne en melding som sa at 116.500 rsETH var låst på Unichain, selv om det aldri skjedde. Broen hadde ingen uavhengig andre part som kunne stille spørsmål ved meldingen, og den forfalskede attestasjonen ble derfor godtatt uten motstand. Dette er selve kjernen i tvisten: KelpDAO mener LayerZero visste, eller burde ha visst, at en slik enkeltpunkts-konfigurasjon var farlig og ikke varslet godt nok om risikoen. LayerZero mener på sin side at Kelp selv valgte denne konfigurasjonen med åpne øyne.
I etterkant av hendelsen har LayerZero avsluttet støtten for nye 1-av-1 DVN-oppsett og flyttet tilknyttede applikasjoner over til konfigurasjoner med flere uavhengige verifiserere. Det er en stilltiende innrømmelse av at modellen som ble brukt mot KelpDAO, hadde en strukturell svakhet, selv om selskapet ikke har erkjent juridisk ansvar for selve hacket.
LayerZeros 1-av-1-DVN-modell under lupen
LayerZero har markedsført seg som ryggraden i cross-chain-meldinger på tvers av over 150 blokkjeder, med mer enn 150 millioner meldinger levert siden 2022 og over 44 milliarder dollar i broede eiendeler, ifølge en markedsgjennomgang publisert 27. september 2026. Nettopp denne skalaen er grunnen til at konfigurasjonsvalgene i protokollen får så stor oppmerksomhet nå.
Et DVN-nettverk med flere uavhengige verifiserere gir redundans: dersom én part blir kompromittert, kan de andre nekte å signere en falsk melding. Et 1-av-1-oppsett fjerner denne sikkerhetsmekanismen helt, og gjør hele broens sikkerhet avhengig av at nøyaktig én aktørs infrastruktur aldri svikter. For en sektor som har blitt hacket for enorme summer gjennom nettopp broer, er det et design mange sikkerhetsmiljøer nå stiller spørsmål ved, uavhengig av hvem som ender med å vinne saken i British Columbia.
KelpDAOs anklager mot LayerZero og Pellegrino
I kjernen av søksmålet ligger påstanden om at LayerZero aktivt godkjente bro-konfigurasjonen skriftlig, uten å advare tydelig nok om risikoen ved enkeltpunkts-verifisering. KelpDAO hevder også at selskapets egen sikkerhetsinfrastruktur ble infiltrert, og at dette var en direkte forutsetning for at angrepet kunne lykkes.
«Som det fremgår av søksmålet vårt, var utnyttelsen et direkte resultat av LayerZeros svikt, inkludert at de ikke informerte om svakheter og risiko i sin egen teknologi, og at de ikke forhindret at angripere infiltrerte LayerZeros egen sikkerhetsinfrastruktur, noe som gjorde det mulig å utnytte disse svakhetene», skriver KelpDAO i den samme uttalelsen.
Protokollen går også løs på hvordan LayerZero har kommunisert etter hacket. «I stedet for å ta ansvar har LayerZero og Pellegrino de siste månedene offentlig lagt skylden for sin egen svikt på oss», heter det i samme uttalelse. Det er dette punktet som ligger til grunn for ærekrenkelseskravet i søksmålet, ikke selve hacket i seg selv.
LayerZero og Pellegrino svarer: “grunnløst”
Pellegrino avviste anklagene samme dag saken ble kjent. «Evercrest (KelpDAO) anla i dag et søksmål i British Columbia i Canada mot meg selv og LayerZero», bekreftet han, ifølge CoinDesks dekning av saken.
Han fulgte opp med å avvise innholdet direkte: «Søksmålet er fortsatt grunnløst. Jeg møter dem i Vancouver og forsvarer meg derfra», sa Pellegrino, ifølge CryptoPotato. LayerZeros tekniske posisjon er at KelpDAO selv valgte 1-av-1-konfigurasjonen uten å kreve uavhengig verifisering, og at ansvaret for denne beslutningen ligger hos protokollen som bygde på tjenesten, ikke hos infrastrukturleverandøren.
Verken LayerZero eller Pellegrino har så langt erkjent juridisk ansvar for selve tapet. Det gjør at hele saken nå skal avgjøres av en domstol, ikke av partenes egne pressemeldinger.
Et veiskille for ansvar i DeFi-infrastruktur
Det som gjør KelpDAO-saken uvanlig, er hvem den retter seg mot. De fleste søksmål og offentlige oppgjør etter DeFi-hack har handlet om protokollens egen kode, om angriperen selv, eller om en sentralisert børs som tapte kundemidler. Her er saksøkte i stedet leverandøren av selve meldingsinfrastrukturen som flere titalls andre protokoller også er avhengige av.
Saken reiser flere spørsmål som ikke har noe klart presedens i DeFi: Skaper en teknisk gjennomgang og skriftlig godkjenning fra en infrastrukturleverandør en aktsomhetsplikt overfor kunden? Kan et valg av sikkerhetskonfigurasjon tilskrives applikasjonen, leverandøren, eller begge? Og kan offentlige uttalelser etter et hack i seg selv utløse et eget krav om ærekrenkelse, uavhengig av hva som skjedde teknisk?
Uansett utfall kan saken bli et referansepunkt for hvordan kontrakter mellom DeFi-protokoller og deres infrastrukturleverandører bør utformes videre, med klarere ansvarsfordeling, varslingsplikter og forsikringskrav innbakt fra start.
Markedseffekten: TVL, KERNEL og tillit til broer
De umiddelbare markedseffektene av aprilhacket var betydelige. KelpDAOs egen forvaltningskapital lå på rundt 1,57 milliarder dollar før angrepet. I løpet av under to døgn etter hendelsen falt den samlede forvaltningskapitalen i DeFi-sektoren fra omtrent 99,497 til 86,286 milliarder dollar, en bevegelse som i stor grad reflekterer den generelle nervøsiteten hacket skapte rundt cross-chain-broer, ikke bare tapet hos KelpDAO isolert.
KelpDAOs eget token, KERNEL, falt i verdi i dagene etter hacket, selv om de tilgjengelige kildene ikke oppgir en presis, datert prosentandel for fallet. Protokollen måtte også hente inn 2.000 ETH i ny kapital, stanse stablecoin-hvelvet sbUSD, og håndtere over 650 millioner dollar i uttak fra brukere som ville ut før situasjonen var klarlagt. Dette er kostnadene KelpDAO nå forsøker å få dekket gjennom søksmålet, ikke kun selve det stjålne beløpet på 292 millioner dollar. Mønsteret med raske kundeuttak og hastetiltak går igjen i nesten alle store hendelser, slik vi også så i responsen etter kryptobørs-hacket på 3,63 milliarder dollar tidligere i år.
Historisk sammenligning: de største bro-hackene
KelpDAO-hacket er stort, men det er langt fra det største bro-hacket i kryptohistorien. Tabellen under viser hvordan det måler seg mot tidligere hendelser som definerte sikkerhetsdebatten om cross-chain-broer.
| Hendelse | År | Rapportert tap | Angrepstype |
|---|---|---|---|
| Poly Network | 2021 | Ca. 610 mill. dollar | Smartkontrakt-sårbarhet i broens signaturvalidering |
| Ronin Bridge | 2022 | Ca. 625 mill. dollar | Kompromitterte validatornøkler (Lazarus-gruppen) |
| Wormhole | 2022 | Ca. 325 mill. dollar | Forfalsket signaturvalidering på Solana-siden |
| Multichain | 2023 | Ca. 125 mill. dollar | Uklar, mistenkt intern kompromittering av nøkler |
| KelpDAO / LayerZero-bro | 2026 | Ca. 292 mill. dollar | Kompromittert RPC-infrastruktur, falsk 1-av-1 DVN-attestasjon |
Mønsteret er tydelig: de fem største bro-hackene gjennom historien handler sjelden om feil i selve kjedens kryptografi. De handler om tillitspunkter mennesker og selskaper har bygget inn i systemene, enten det er validatornøkler, signaturlogikk eller, som i KelpDAOs tilfelle, et enkelt verifiseringssystem uten reserve. Et annet eksempel fra samme år er Symbiosis-broen, som ble lurt til å godta falske syBTC-tokens gjennom en lignende svikt i verifiseringslogikken.
LayerZero vs. Wormhole vs. Chainlink CCIP
Saken setter også et nytt lys på konkurransen mellom de store aktørene innen cross-chain-meldinger. LayerZero har bygget den største målbare aktiviteten av de tre, men det betyr ikke automatisk at modellen er den sikreste.
| Protokoll | Målt aktivitet (2026) | Verifiseringsmodell | Kjeder tilkoblet |
|---|---|---|---|
| LayerZero | Over 44 mrd. dollar i broede eiendeler, over 150 mill. meldinger siden 2022 | Konfigurerbare DVN-er, fra 1-av-1 til flere uavhengige verifiserere | Over 150 blokkjeder |
| Wormhole | Ca. 20 % av meldingsvolumet i cross-chain-sektoren (4. kvartal 2025, DeFiLlama-data) | Guardian-nettverk med flere uavhengige noder som må signere i fellesskap | Over 30 blokkjeder |
| Chainlink CCIP | Ikke offentlig oppgitt sammenlignbart tall for 2026 | Risk Management Network kombinert med uavhengig nettverk av noder | Flere titalls blokkjeder, tall ikke offentlig bekreftet for 2026 |
Det finnes ingen offentlig bekreftet, sammenlignbar markedsandel for Chainlink CCIP i 2026, og det bør ikke anslås ut fra LayerZeros eller Wormholes tall, siden protokollene måler og rapporterer aktivitet forskjellig. Det som er tydelig, er at LayerZeros fleksible DVN-modell har gjort protokollen populær nettopp fordi den lar kunder velge billigere, enklere oppsett, som i KelpDAOs tilfelle endte med å bli det svakeste leddet.
2026 på vei til å bli det dyreste krypto-hack-året
KelpDAO-saken må også leses i lys av et bredere mønster. Ifølge en DeFiLlama-rapport fra 30. september 2026 hadde krypto- og DeFi-sektoren allerede tapt rundt 1,84 milliarder dollar fordelt på 277 hendelser så langt i 2026. Tidligere på høsten, i begynnelsen av september, lå det tilsvarende anslaget på rundt 1,4 milliarder dollar fordelt på 250 hendelser, noe som viser at tapstakten har økt gjennom andre halvår.
Et bredere anslag fra 26. september, som også teller sosial manipulasjon og phishing i tillegg til rene smartkontrakt- og bro-utnyttelser, satte tallet enda høyere: 2,2 milliarder dollar fordelt på 288 angrep. TRM Labs’ egen halvårsrapport, publisert 1. juli 2026, viste 972 millioner dollar i tap for første halvår, kombinert med et rekordhøyt antall enkelthendelser. Tallene varierer fordi ulike analysehus bruker forskjellige definisjoner av hva som regnes som et “hack”, men retningen er samme uansett kilde: 2026 er på vei til å bli et av de dyreste årene i DeFi-sektorens historie, og bro-infrastruktur som LayerZeros er en gjentagende årsak. Bare uker før KelpDAO-søksmålet ble kjent, hadde kryptobørsen Bitget selv blitt hacket for over 351 millioner dollar, en hendelse som sammen med KelpDAO-saken har gjort 2026 til et år med flere ni-sifrede krypto-tap enn noe tidligere år.
Hva betyr dette for nordiske investorer og utviklere
For norske og nordiske aktører som bygger på eller investerer i protokoller som bruker cross-chain-broer, er lærdommen konkret. Når en protokoll kommuniserer at den er “revidert” eller “godkjent” av en infrastrukturleverandør, bør det spesifiseres nøyaktig hva revisjonen faktisk dekket: smartkontraktkoden, bro-konfigurasjonen, verifiseringsinfrastrukturen, nøkkelhåndteringen, eller bare deler av dette.
Norske utviklere som vurderer å bruke LayerZero, Wormhole eller andre meldingsprotokoller bør nå aktivt spørre om hvor mange uavhengige verifiserere som faktisk kreves for en gitt bro, ikke bare stole på standardoppsettet. Praktisk sett bør aktive brukere også venne seg til å tilbakekalle gamle DeFi-tillatelser regelmessig og følge med gjennom løpende overvåking av bro-transaksjoner, uavhengig av hvor mye man stoler på den enkelte protokollen. For investorer er poenget enklere: en revidert smartkontrakt sier ingenting om sikkerheten til den underliggende meldingsinfrastrukturen broen er avhengig av. Det er nøyaktig det gapet KelpDAO hevder kostet dem 292 millioner dollar.
Fem prognoser for veien videre
- Flere protokoller vil kreve multi-verifisering som standard. Etter at LayerZero selv har avsluttet støtten for nye 1-av-1-oppsett, vil flere bro-leverandører sannsynligvis gjøre uavhengig flerpartsverifisering obligatorisk fremfor valgfritt.
- Flere søksmål mot infrastrukturleverandører kan følge. Dersom KelpDAO lykkes med å etablere at en teknisk godkjenning skaper en aktsomhetsplikt, kan andre protokoller som har tapt midler via tredjepartsinfrastruktur vurdere lignende krav.
- Forsikringsselskaper vil stramme inn kravene for DeFi-dekning. Arkitektoniske krav som flere verifiserere, uttaksgrenser og dokumentert hendelsesrespons vil sannsynligvis bli forutsetninger for å få forsikring overhodet.
- Kontraktsvilkår mellom protokoller og infrastrukturleverandører blir strengere. Forvent tydeligere klausuler om varslingsplikt, ansvarsbegrensning og hvem som bærer kostnaden når en kundevalgt konfigurasjon viser seg sårbar.
- 2026 vil sannsynligvis gå inn i historien som et av de dyreste årene for DeFi-sektoren. Med 1,84 milliarder dollar i tap allerede registrert per 30. september, og flere måneder igjen av året, kan den endelige summen for 2026 passere tidligere rekordår.
Ingen av disse punktene er garantert å slå til nøyaktig som beskrevet, men de følger direkte av hvordan bransjen og domstolene historisk har reagert på lignende hendelser, kombinert med de konkrete stegene LayerZero allerede har tatt etter KelpDAO-hacket.
Et søksmål som kan definere DeFi-ansvar
Verken KelpDAO eller LayerZero har fått rettens kjennelse ennå, og saken kan ta måneder eller år å avgjøre i Supreme Court of British Columbia. Likevel er betydningen av søksmålet allerede synlig i hvordan bransjen snakker om ansvar. Det er ikke lenger nok for en DeFi-protokoll å vise til at egen kode er revidert. Spørsmålet som nå stilles høyt, er hvem som svarer for infrastrukturen rundt koden, når den svikter.
Ofte stilte spørsmål
Hva er KelpDAO-saken egentlig om?
Det handler om et søksmål KelpDAOs juridiske selskap Evercrest Technologies leverte 24. september 2026 mot LayerZero Labs og CEO Bryan Pellegrino, etter at KelpDAOs rsETH-bro ble tømt for rundt 292 millioner dollar i april 2026.
Hvor ble søksmålet levert?
Ved Supreme Court of British Columbia i Canada, siden både LayerZero Labs Canada Inc. og Bryan Pellegrino har tilknytning til jurisdiksjonen.
Hvordan skjedde selve hacket i april 2026?
Angripere skal ha kompromittert en LayerZero-utviklers maskin med skadevare allerede i mars, og brukt tilgangen til å manipulere interne RPC-noder. Dette fikk KelpDAOs 1-av-1 DVN-verifiserer til å godkjenne en falsk melding om at 116.500 rsETH var låst på Unichain, slik at tilsvarende verdi ble frigjort på Ethereum.
Hva er en 1-av-1 DVN, og hvorfor er det relevant?
Det er en bro-konfigurasjon der kun én verifiserer bekrefter at en cross-chain-melding er ekte, uten en uavhengig andre part som kan avvise en falsk attestasjon. LayerZero har siden avsluttet støtten for nye oppsett av denne typen.
Hva krever KelpDAO i søksmålet?
Protokollen peker på flere tapsposter utover selve det stjålne beløpet, blant annet en rekapitalisering på 2.000 ETH, over 650 millioner dollar i kundeuttak, tapte inntekter, verdifall på token KERNEL og nedleggelsen av stablecoin-hvelvet sbUSD.
Hva sier LayerZero og Bryan Pellegrino om søksmålet?
Pellegrino har offentlig kalt kravet grunnløst og sagt at han vil forsvare seg i Vancouver. LayerZero mener KelpDAO selv valgte den sårbare 1-av-1-konfigurasjonen uten å kreve uavhengig verifisering.
Hvordan rangerer KelpDAO-hacket blant historiens største bro-hack?
Med rundt 292 millioner dollar i tap er det mindre enn Ronin Bridge (2022, ca. 625 mill. dollar), Poly Network (2021, ca. 610 mill. dollar) og Wormhole (2022, ca. 325 mill. dollar), men større enn Multichain-hacket i 2023 (ca. 125 mill. dollar).
Hvor mye har krypto- og DeFi-sektoren tapt totalt i 2026?
Ifølge DeFiLlama-data fra 30. september 2026 er tapet så langt i år rundt 1,84 milliarder dollar fordelt på 277 hendelser, mens bredere anslag som også teller sosial manipulasjon, setter tallet opp mot 2,2 milliarder dollar.