18 avril 2026, 17h35 (UTC), un attaquant a exploité une vulnérabilité dans le pont rsETH de Kelp DAO, construit sur l’infrastructure cross-chain de LayerZero. En falsifiant des paquets de données entrants, l’attaquant a libéré 116 500 rsETH—d’une valeur d’environ 292 millions de dollars à ce moment-là. Les enquêtes menées par Chainalysis et ZachXBT ont toutes deux désigné le Lazarus Group nord-coréen. Les attaquants ont contourné les contrôles de sécurité du réseau à nœud validateur unique en combinant des attaques DDoS sur des nœuds externes avec la manipulation de nœuds RPC internes.
Il ne s’agissait pas d’une faille classique de smart contract : aucune attaque par réentrance, aucune permission manquante, ni manipulation d’oracle de prix. Le véritable point d’appui de l’attaquant résidait dans le recours par Kelp DAO à un point de défaillance unique : une architecture DVN 1-sur-1, reposant exclusivement sur le nœud validateur opéré par LayerZero Labs. Une fois les données RPC de ce nœud usurpées avec succès, le contrat de pont côté Ethereum a libéré de véritables rsETH en réponse à un message cross-chain falsifié, sans qu’aucun nœud validateur secondaire ne puisse vérifier la transaction.
Au lieu de vendre directement les rsETH volés sur le marché, l’attaquant a déposé environ 90 000 rsETH sur Aave V3 en tant que collatéral et a emprunté près de 190 millions de dollars en ETH et autres actifs. Cette opération a laissé Aave avec une importante dette irrécouvrable. La TVL d’Aave a chuté de 26,4 milliards à 17,9 milliards de dollars, et plus de 13 milliards de capitaux ont quitté l’écosystème DeFi en très peu de temps.
Au 29 avril 2026, les données de marché de Gate montraient un ETH autour de 2 300 dollars. Après l’attaque, le prix du rsETH a brièvement chuté à 1 723 dollars, créant un écart de 500 dollars entre le rsETH et l’ETH—signe manifeste d’une panique de marché face à des rsETH non adossés.
Plus préoccupant encore, cet incident n’est pas isolé. Sur le seul premier trimestre 2026, les protocoles DeFi ont perdu environ 168,6 millions de dollars à cause de piratages. Sur les 20 premiers jours d’avril, les pertes se sont envolées à 606,2 millions de dollars—le montant mensuel le plus élevé depuis février 2025.
Pourquoi un nœud validateur unique constitue-t-il une faille fatale dans l’infrastructure DeFi ?
L’attaque contre Kelp DAO a mis en lumière un problème structurel longtemps sous-estimé : des configurations de sécurité cross-chain déséquilibrées. Dans l’architecture de LayerZero, chaque message cross-chain devrait être validé par un ou plusieurs réseaux de nœuds validateurs décentralisés avant d’atteindre la chaîne cible. Or, le pont rsETH de Kelp DAO s’appuyait sur un seul nœud validateur—le DVN de LayerZero Labs—créant de facto un point de défaillance unique.
Cette configuration n’est pas exceptionnelle. Plus la logique d’un pont cross-chain est simple, moins on utilise de nœuds validateurs, sacrifiant la sécurité au profit d’une confirmation plus rapide des messages et de frais de gaz moindres. Mais lorsqu’un seul nœud validateur assure la fonction de « témoin », un attaquant n’a qu’à compromettre ce maillon—qu’il s’agisse du nœud RPC, du serveur validateur ou des identifiants de l’opérateur—pour contourner l’ensemble du processus de validation cross-chain.
Plus inquiétant encore, les méthodes de l’attaquant étaient quasiment indétectables par la surveillance on-chain traditionnelle. Chaque transaction on-chain paraissait parfaitement légitime au niveau du bytecode : les messages étaient relayés, les signatures vérifiées, et le contrat cible exécutait la réponse attendue à la requête cross-chain. La véritable manipulation s’est produite hors chaîne, dans la couche de validation qui décide : « Ce message cross-chain doit-il être approuvé ? »
Ce type d’attaque marque un tournant dans la frontière de sécurité de la DeFi : les vulnérabilités de smart contracts ne sont plus la seule source de risque systémique. L’infrastructure périphérique des ponts cross-chain—nœuds RPC, réseaux de validateurs, services de signature hors chaîne—devient une surface d’attaque de plus en plus prisée. En 2026, ce vecteur d’attaque s’accélère. Les attaques contre Kelp DAO et Drift Protocol représentent à elles seules 95 % des pertes DeFi du mois d’avril, illustrant fondamentalement que les attaquants élargissent systématiquement leurs cibles, passant des smart contracts isolés à l’ensemble de la couche infrastructurelle de la DeFi.
On note également que sur les 4,5 premiers mois de 2026, on a recensé 47 piratages crypto, contre 28 sur la même période en 2025—soit une hausse annuelle d’environ 68 %.
Comment le prêt décentralisé a-t-il déclenché un choc de liquidité de 13 milliards de dollars ?
Le cœur de l’attaque ne résidait pas simplement dans le vol de tokens, mais dans l’utilisation de la composabilité de la DeFi pour propager le risque entre protocoles. Les rsETH falsifiés ont été répartis sur sept adresses différentes par l’attaquant et largement utilisés comme collatéral dans des protocoles de prêt comme Aave et Compound. Ces rsETH n’étant adossés à aucun actif réel on-chain, les utiliser comme collatéral revenait à injecter des « chèques en blanc » sur le marché du prêt.
Une fois ce faux collatéral utilisé pour emprunter de véritables ETH, le risque s’est profondément imbriqué dans les mécanismes de liquidation des protocoles de prêt, les réserves de liquidité et la sécurité des dépôts utilisateurs. Aave a subi une double pression : d’abord, la valeur du rsETH comme collatéral est devenue incertaine, accroissant fortement le risque de dette irrécouvrable ; ensuite, la panique du marché a poussé les utilisateurs à retirer massivement leur liquidité, limitant encore la capacité du protocole à absorber les pertes. Après l’incident, le Security Council d’Arbitrum a gelé 30 766 ETH sur des portefeuilles liés à l’attaquant, contribuant ainsi à limiter les pertes supplémentaires.
Plus fondamentalement, cet événement a illustré le revers de la « composabilité » de la DeFi : quand les protocoles sont fortement interconnectés, une défaillance structurelle dans l’un peut rapidement devenir un risque systémique pour l’ensemble de l’écosystème. Au final, ce sont les déposants et les arbitragistes inter-protocoles qui en supportent le coût.
Comment un fonds de sauvetage de 303 millions de dollars agit-il comme soupape de sécurité pour la DeFi ?
Au 27 avril 2026, l’initiative de sauvetage DeFi United, coordonnée par Stani Kulechov, fondateur d’Aave, avait sécurisé plus de 303 millions de dollars de fonds engagés. Ce pool de capitaux rassemble plusieurs acteurs majeurs de l’écosystème Ethereum, opérant de manière flexible via des dons, dépôts et lignes de crédit.
Plus précisément, les engagements publics incluent : Consensys et son fondateur Joseph Lubin promettant jusqu’à 30 000 ETH ; Mantle offrant une ligne de crédit de 30 000 ETH ; Aave DAO proposant 25 000 ETH ; EtherFi engageant jusqu’à 5 000 ETH ; Lido soumettant une proposition de gouvernance pour 2 500 stETH ; Compound proposant une subvention de 3 000 ETH ; Renzo contribuant plus de 10 millions de dollars de sa trésorerie ; Babylon Foundation déposant 3 millions de dollars en USDT ; Circle Ventures soutenant via l’achat de tokens AAVE ; ainsi que la Fondation Avalanche, la Solana Foundation et Justin Sun, dont les montants restent à préciser.
À noter, le protocole cross-chain LayerZero a rejoint l’initiative au cinquième jour de l’incident, avec un engagement de 10 000 ETH—5 000 ETH en don direct au fonds DeFi United, et 5 000 ETH déposés sur Aave pour renforcer la liquidité. Le 29 avril, Puffer Finance a annoncé qu’il utiliserait ses fonds de trésorerie pour participer, devenant ainsi un contributeur clé du secteur restaking à l’initiative.
Le fonds de sauvetage total dépasse désormais 100 360 ETH, constituant la plus vaste coordination de capitaux inter-protocoles de l’histoire de la DeFi—un changement de paradigme dans la gestion des crises systémiques par l’industrie.
De la liquidation du collatéral frauduleux aux swaps groupés d’ETH : comment le plan de sauvetage se déploie-t-il ?
Le plan de sauvetage de l’alliance DeFi United s’organise en plusieurs phases, avec pour objectif central de restaurer intégralement la couverture du rsETH et de résorber la dette irrécouvrable laissée par les hackers nord-coréens sur Aave et Compound. Le plan consiste à remonter progressivement la valeur sous-jacente du rsETH en frappant à nouveau des rsETH à partir des ETH engagés. En amont, les protocoles ajusteront temporairement la valeur oracle du rsETH utilisé comme collatéral afin de déclencher des liquidations contrôlées. Les tokens récupérés lors de ces liquidations seront envoyés sur le portefeuille multisig de DeFi United, puis échangés contre de l’ETH via le processus standard de Kelp, pour combler le déficit de financement sur les marchés de prêt concernés.
Point crucial, le plan repose sur une gouvernance décentralisée—la plupart des fonds engagés nécessitent encore une approbation formelle via le vote de la DAO de chaque protocole, ce qui conditionne le rythme d’exécution à l’avancement parallèle de ces processus de gouvernance.
L’objectif n’est pas de renflouer les attaquants, mais de restaurer la valeur intrinsèque du collatéral et de limiter les chocs secondaires pour les utilisateurs et la liquidité des protocoles. La logique est claire : si la DeFi laisse des actifs non adossés accumuler de la dette irrécouvrable dans les protocoles de prêt, c’est le socle de crédit de tout l’écosystème—et non d’un seul protocole—qui sera fragilisé. Le mécanisme de sauvetage relève donc d’une intervention proactive face au risque systémique, et non d’un jugement moral sur les actions individuelles.
Quand les concurrents s’allient : l’opération de sauvetage redéfinit-elle la confiance dans la DeFi ?
L’originalité du sauvetage DeFi United réside dans l’ampleur de la participation et le degré élevé de collaboration inter-structures. Plus de 14 acteurs de l’écosystème—dont de nombreux concurrents directs—assument ensemble la responsabilité financière dans un cadre unifié. Cette coordination sectorielle n’est pas imposée par une autorité centrale, mais repose sur des engagements transparents on-chain, une mutualisation multisig des fonds et une exécution technique par étapes.
Traditionnellement, la concurrence dans la DeFi portait sur le rendement, la profondeur de la liquidité et les incitations de gouvernance. En temps normal, cette compétition stimule l’innovation produit et l’efficacité. Mais en cas de risque systémique, les protocoles isolés manquent souvent des moyens pour résorber une « dette irrécouvrable contagieuse » profonde. L’incident Kelp DAO a montré que l’imbrication entre ponts cross-chain et protocoles de prêt empêche d’isoler le risque à l’échelle d’un seul protocole.
L’émergence de plans de sauvetage coordonnés traduit un glissement de la finance décentralisée, d’une compétition purement libre-marché vers un modèle intégrant la responsabilité collective. Ce n’est pas de l’altruisme pur—certains participants sont directement exposés au risque de dette, d’autres craignent un effondrement de la confiance dans l’écosystème. Les motivations diffèrent, mais l’objectif final fait consensus : préserver la solvabilité globale de la DeFi. Si ce type de coordination inter-structures ne constitue pas une solution définitive au risque systémique, il offre un modèle précieux pour l’évolution de la DeFi vers une capacité d’auto-guérison accrue.
Résumé
L’attaque du pont cross-chain Kelp DAO, d’un montant de 292 millions de dollars, s’impose comme le plus important incident de sécurité DeFi de 2026 à ce jour, enraciné dans une vulnérabilité structurelle de l’infrastructure : la dépendance à un nœud validateur unique. Les attaquants ont contourné les failles classiques des smart contracts pour cibler la couche de validation hors chaîne, révélant un angle mort dans la surveillance de la sécurité cross-chain.
L’initiative de sauvetage DeFi United, menée par Aave, a établi un nouveau record de coordination de capitaux inter-structures dans la DeFi, avec plus de 303 millions de dollars engagés par plus de 14 protocoles via dons, dépôts et lignes de crédit—illustrant la capacité du secteur à collaborer en temps de crise systémique. Cet incident met en lumière une logique essentielle : à mesure que l’interopérabilité cross-chain s’intensifie, les effets négatifs de la composabilité continuent de s’accumuler, et il subsiste un décalage manifeste entre les mécanismes de tarification du risque en DeFi et l’évolution de la sécurité des infrastructures. L’efficacité ultime des mécanismes de sauvetage dépendra de la gouvernance et de l’engagement durable de tous les participants.
Foire aux questions
Q : Comment l’attaque contre Kelp DAO s’est-elle produite ?
L’attaquant a exploité une vulnérabilité de sécurité dans le pont cross-chain LayerZero de Kelp DAO, qui reposait sur un nœud validateur unique. En falsifiant des messages entrants, il a trompé la logique du validateur, poussant le contrat de pont côté Ethereum à libérer par erreur 116 500 rsETH—d’une valeur d’environ 292 millions de dollars.
Q : D’où proviennent les fonds de l’opération de sauvetage DeFi United ?
Au 27 avril, le plan de sauvetage avait sécurisé plus de 303 millions de dollars d’engagements de la part de Consensys, Lido, EtherFi, Mantle, Compound, Renzo, Babylon Foundation, LayerZero (10 000 ETH), Puffer Finance et de dizaines d’autres projets et institutions.
Q : Comment les détenteurs de rsETH seront-ils indemnisés ?
DeFi United frappera par lots des rsETH à partir des ETH engagés pour restaurer leur valeur de collatéral. Lors de l’exécution par phases, les actifs concernés seront transférés sur un portefeuille multisig, puis échangés contre de l’ETH pour combler les déficits sur les marchés de prêt. Les fonds restants serviront à indemniser les détenteurs de rsETH.
Q : Quel impact cet incident a-t-il sur l’évolution de la sécurité DeFi ?
L’attaque montre que les risques de sécurité en DeFi dépassent désormais les vulnérabilités de smart contracts pour inclure la couche de validation hors chaîne de l’infrastructure cross-chain. Cette tendance implique que la surveillance on-chain traditionnelle ne suffit plus, et que des systèmes de monitoring de l’immutabilité cross-chain plus complets sont nécessaires pour vérifier l’authenticité des messages cross-chain et garantir la correspondance des tokens verrouillés sur les chaînes sources.
Q : Comment les protocoles DeFi peuvent-ils prévenir de telles attaques à l’avenir ?
Trois axes principaux : d’abord, configurer plusieurs nœuds validateurs indépendants pour les ponts cross-chain afin d’éliminer les points de défaillance uniques ; ensuite, bâtir des systèmes de monitoring robustes pour l’intégrité des données cross-chain ; enfin, promouvoir le partage d’informations sur les risques et des mécanismes de réponse coordonnée entre protocoles pour faire face à la propagation rapide du risque systémique.
