Заморозка ≠ возврат: дело Kelp DAO и право собственности на украденную крипту

В Cointelegraph Magazine вышел материал о новых рисках в DeFi с комментариями партнера Юрия Брисова.

DeFi развивается быстро: новые мосты, рестейкинг-протоколы, оракулы. Контролирующего оператора нет — никто не заблокирует счет. Но аудиты не успевают за релизами, и хакеры этим пользуются.

Когда крадут у централизованного сервиса, сценарий понятен: биржа замораживает, правоохранители возвращают. В DeFi замораживать может быть некому. А если замораживают, то на каком основании средства возвращаются бывшему владельцу?

Свежий пример — дело Kelp DAO. В апреле 2026 хакеры, связанные с северокорейской группой Lazarus, вывели из Kelp DAO около $293 млн через мост LayerZero. Security Council сети Arbitrum успел заморозить 30 765 ETH (~$71 млн).

Однако к замороженным средствам предъявила права не жертва взлома, а американская юрфирма Gerstein Harrow — в интересах лиц, имеющих судебные решения против КНДР по делам о терроризме на сумму более $877 млн. Логика истцов:
хакер связан с Lazarus;
Lazarus — инструмент режима КНДР;
замороженный ETH — имущество КНДР;
значит, на него можно обратить взыскание в счет старых судебных решений.

Aave LLC подала в суд экстренное ходатайство (emergency notice) с просьбой перевести часть замороженных средств на безопасные кошельки под ее контролем. Промежуточное решение суда это разрешило — $71 млн были переведены на кошелек Aave. Однако сам запрет на распоряжение активами (restraining notice), наложенный по требованию кредиторов КНДР, полностью не снят: средства остаются юридически арестованными, спор о том, кому они в итоге достанутся, продолжается.

В деле столкнулись две правовые доктрины.

TRIA (Terrorism Risk Insurance Act) и FSIA § 1610(g) — позволяют держателям судебных решений против «террористических стран» обращать взыскание на их имущество за рубежом. По такой же логике в 2016 году кредиторы получили доступ к иранским активам в США (Bank Markazi v. Peterson).

Принцип общего права nemo dat quod non habet — вор не передает право собственности. Краденое не становится имуществом вора, а значит, и имуществом государства за ним. Этот принцип разрушает конструкцию истцов: TRIA работает только с имуществом, реально принадлежащим террористической стороне.


Что важно понимать пользователю DeFi (его использование в России пока не запрещено):

Заморозка ≠ возврат. За технической мерой следует отдельная юридическая процедура, идущая параллельно с притязаниями третьих лиц.

Между замороженными активами и пострадавшим может встать старое судебное решение, налоговая претензия или санкционная блокировка — все это юридически сильнее технических мер.

Подача протоколом иска от своего имени ставит под угрозу весь проект. Aave LLC, придя в нью-йоркский суд, ввела DAO в американскую юрисдикцию.

Атрибуция атаки имеет правовые последствия: если хакер связан с подсанкционной юрисдикцией, замороженные активы могут стать предметом спора между несколькими группами кредиторов.


Итог парадоксальный. DeFi позиционировался как пространство, защищённое децентрализацией от правовых вопросов. Кейс показывает обратное: чем серьезнее инцидент, тем быстрее протокол оказывается в обычном суде.

То есть, DeFi без договора, юрисдикции и юрлица работает до первой проблемы. Затем суды применяют стандартные нормы права. Поэтому проектам разумнее сразу выбрать юрисдикцию и определить применимый закон — это лучше, чем ждать квалификации отношений судом по своему усмотрению.

Тем, кто работает с DeFi или инвестирует, имеет смысл уже сейчас учитывать этот сценарий в юридической архитектуре продукта. Не смотрите только на техническое решение, проверяйте и юридическую часть.

Полный материал тут.

#DA_новости #цифровые_активы #DeFi