Analyse complète de l'attaque du pont cross-chain de Kelp DAO : comment la vulnérabilité de signature unique a déclenché un risque systémique de 2,93 milliards de dollars dans la DeFi

Le 18 avril 2026 vers 17h35 UTC, le protocole de prêt flash de liquidité renouvelée Kelp DAO a été victime d’une attaque massive sur le pont inter-chaînes rsETH. L’attaquant a exploité une vulnérabilité de configuration de LayerZero, permettant de frapper environ 116 500 rsETH sur la blockchain Ethereum à partir de rien, évalués à environ 293 millions de dollars au prix du marché de l’époque, représentant environ 18 % de la circulation totale de rsETH. Il s’agit du plus grand incident de sécurité DeFi en 2026 à ce jour.

Ce qui rend l’attaque particulièrement critique, c’est la suite : le hacker n’a pas choisi de vendre directement ces rsETH sur le marché secondaire — leur liquidité étant insuffisante pour de grosses ventes sans glissement important — mais a plutôt utilisé ces “actifs d’air” comme collatéral dans des protocoles de prêt majeurs tels qu’Aave V3, Compound V3 et Euler, empruntant environ 236 millions de dollars en WETH/ETH réels.

L’essence de cet incident peut être résumée comme suit : vulnérabilité de configuration du pont inter-chaînes + arbitrage sur les collatéraux dans les protocoles de prêt + propagation de risques systémiques. En tant que jeton de liquidité de prêt renouvelé, rsETH devrait être soutenu par des réserves réelles dans le pont inter-chaînes ; mais lorsque ces réserves sont vidées, la valeur de rsETH s’effondre instantanément, tandis que les oracles des protocoles de prêt comme Aave continuent à valoriser le collatéral à son prix initial, générant ainsi une accumulation de créances douteuses.

L’attaquant a pu, selon le suivi on-chain, obtenir environ 106 466 ETH (d’une valeur d’environ 250 millions de dollars), dont environ 196 millions de dollars issus de la liquidation de prêts sur Aave. Aave a ensuite gelé tous les marchés liés à rsETH et évalué la perte potentielle du protocole entre 177 et 196 millions de dollars.

Signature fatale : Analyse technique approfondie de la vulnérabilité de configuration LayerZero

Vulnérabilité centrale : la configuration ignorée de 1/1 DVN

L’attaque ne réside pas dans une faille du code des contrats intelligents, mais dans une erreur de configuration des paramètres de déploiement. Le contrat de pont inter-chaînes de Kelp DAO utilisant LayerZero a adopté une configuration 1/1 DVN (Decentralized Verifier Network, réseau de vérificateurs décentralisé), c’est-à-dire qu’un seul nœud de validation suffit pour approuver un message cross-chain. Cosine, fondateur de SlowMist, a publié sur X que la documentation officielle de LayerZero recommande par défaut une configuration 2/2 DVN, avec plusieurs nœuds pour une redondance.

Le mécanisme DVN de LayerZero V2 délègue la prise de décision de sécurité à la couche applicative : chaque protocole peut décider du nombre de validateurs nécessaires pour approuver un message. Kelp DAO a fixé ce seuil à l’extrême : “1 of 1” — un seul nœud suffit pour valider. Cette configuration crée une porte d’entrée pour une attaque par point unique de défaillance.

Reconstitution du scénario d’attaque

L’attaquant, en construisant soigneusement un paquet de données cross-chain, a appelé la fonction lzReceive du contrat EndpointV2 de LayerZero, envoyant un message falsifié au contrat de pont de Kelp. Ce message prétendait qu’un actif rsETH était verrouillé sur la chaîne source, demandant à la chaîne cible (Ethereum mainnet) de libérer une somme équivalente de rsETH.

Le point critique : le contrat de pont de Kelp ne vérifie pas strictement la provenance du message cross-chain. Il fait confiance par défaut aux messages venant de LayerZero et exécute la libération, alors qu’en réalité, aucune rsETH n’a été déposée sur la chaîne source.

L’attaquant a payé ses frais de transaction via Tornado Cash, indiquant une préparation préalable pour anonymiser ses fonds.

Zone d’ombre de l’audit : pourquoi les outils d’audit ont-ils fait silence ?

Cet incident diffère fondamentalement des vulnérabilités classiques telles que reentrancy ou overflow. Les audits de sécurité traditionnels de DeFi se concentrent sur la détection de vulnérabilités dans le code des contrats, mais des risques liés à la configuration — comme le seuil DVN ou le nombre de validateurs — échappent aux outils d’analyse statique tels que Slither ou Mythril. Des études montrent que ces outils ne détectent que 8 à 20 % des vulnérabilités exploitables dans le code. Les paramètres de configuration ne sont pas analysés par ces outils, constituant une zone d’ombre structurelle dans la sécurité.

Rétroaction on-chain : chronologie de 46 minutes et suivi de 250 millions de dollars

Chronologie clé

Source : suivi on-chain

Déroulement des flux financiers

Ce tableau détaille chaque étape par laquelle l’attaquant a transformé rsETH d’air en ETH réel :

Source : suivi on-chain et rapports officiels

L’ensemble de l’opération a duré environ 46 minutes, du premier gain à la suspension du contrat par Kelp, avec l’essentiel des opérations de collatéralisation et d’emprunt réalisées. Notons que l’équipe de Kelp a publié sa déclaration officielle près de trois heures après l’attaque.

Impact sur le marché : TVL d’Aave évaporé de 6,6 milliards de dollars en un jour, chute généralisée des tokens

Crise de liquidité d’Aave et retrait massif des institutions

L’incident a déclenché une fuite massive de fonds d’Aave. Selon DefiLlama, la TVL d’Aave est passée de 26,4 milliards de dollars le 18 avril à 17,947 milliards deux jours plus tard, une baisse de 8,45 milliards. La TVL totale des protocoles DeFi a reculé de 99,5 milliards à 86,3 milliards en deux jours, soit une perte de 13,21 milliards.

En une seule journée, environ 6,6 milliards de dollars ont été retirés d’Aave, dont 3,3 milliards en stablecoins. Au 20 avril 2026, selon Gate.io, le prix de AAVE est de 91,66 dollars, en baisse de 1 % sur 24h. La vague de liquidations du week-end a fait grimper les frais journaliers du protocole à près de 2 millions de dollars.

Ce retrait massif n’est pas une panique de petits investisseurs, mais une évacuation par des acteurs institutionnels et gros porteurs cherchant à limiter leur exposition. Les données on-chain montrent que Justin Sun a retiré 65 584 ETH (environ 154 millions de dollars) de Aave. Le taux d’utilisation des ETH dans Aave a atteint 100 %, tandis que les taux d’intérêt pour USDT et USDC ont explosé à 15 %, avec un rendement annuel de 13,4 %, traduisant une forte contraction de liquidité.

Performance des tokens liés après l’incident

Au 20 avril 2026, selon Gate.io :

• KernelDao (KERNEL) : impacté par l’attaque, le token a perdu en confiance. Son prix est de 0,0692 dollars, en baisse de 4,25 % en 24h. Sur une semaine, la chute est de 17,62 %, la capitalisation à 11,29 millions de dollars.
• AAVE (AAVE) : après l’incident, le token a chuté de plus de 22 %, à 91,66 dollars. La capitalisation est d’environ 1,38 milliard de dollars, en baisse de 17,89 % sur un mois.
• LayerZero (ZRO) : la token de l’infrastructure cross-chain a chuté de plus de 40 % après l’événement. Son prix a rebondi à 1,61 dollars, en hausse de 5,85 % en 24h, mais reste en baisse de 16,3 % sur une semaine, avec une capitalisation de 406,5 millions de dollars.

Réponse sectorielle et mesures de sécurité

Après l’incident, plusieurs protocoles ont pris des mesures d’urgence :

• Curve Finance a suspendu tous les ponts LayerZero, notamment pour BNB Chain, Sonic et Avalanche, y compris le pont CRV et le stablecoin crvUSD. La société a indiqué que c’était une mesure préventive, sans attaque directe contre leur propre contrat.
• Morpho a suspendu le pont OFT pour le token MORPHO sur Arbitrum.
• Reserve a suspendu la création d’eUSD et USD3, car leurs pools de collatéral contiennent rsETH, mais la fonction de retrait reste ouverte.
• Des acteurs comme Upbit et Bithumb ont émis des avertissements aux investisseurs concernant Kernel DAO.

Réflexion paradigmique : confiance dans la cross-chain, risques LRT et zones d’ombre en audit

Impact sur la confiance dans l’infrastructure cross-chain

Cet incident constitue une nouvelle épreuve pour la sécurité des ponts inter-chaînes. Ces ponts ont été à l’origine de plusieurs crises, de Nomad en 2022 à Kelp DAO en 2026, notamment en raison de vulnérabilités dans la vérification des messages. Après cet incident, plusieurs projets comme Solv ont annoncé arrêter l’utilisation de LayerZero OFT.

Les mesures préventives de Curve et Morpho, bien qu’efficaces à court terme, révèlent aussi une dépendance excessive à l’égard des infrastructures partagées. Lorsqu’un protocole doit réagir à une faille, cela peut fragmenter la liquidité et miner la confiance dans la sécurité des ponts.

Risques liés aux tokens de prêt renouvelé (LRT)

rsETH, en tant que jeton de liquidité renouvelée, dépend de la réserve d’actifs dans le pont. La vulnérabilité de cette classe d’actifs est claire : “Pont attaqué → réserve vidée → valeur LRT à zéro → collatéral défaillant → créances douteuses”. La sécurité d’Aave n’a jamais été compromise auparavant, mais cet incident montre que la gestion des risques liés aux LRT doit être renforcée. Par exemple, Spark Protocol a déjà délisté rsETH en janvier pour limiter l’exposition.

Michael Egorov, fondateur de Curve, a commenté sur X que ce type de risque est inhérent au modèle “non-isolé” de prêt décentralisé, qui favorise la scalabilité mais augmente la vulnérabilité. La V4 d’Aave pourrait évoluer vers un modèle plus modulaire et sécurisé.

Amélioration des paradigmes d’audit

L’incident met en lumière des lacunes systémiques dans la sécurité DeFi. La majorité des outils d’audit se concentrent sur le code, laissant de côté la configuration et la sécurité opérationnelle des clés et nœuds. Après l’événement, LayerZero a annoncé qu’elle encouragerait tous les projets utilisant une configuration DVN unique à migrer vers une architecture multi-DVN, et a suspendu la validation pour la configuration 1/1. Cela pourrait établir un standard de sécurité minimal pour les configurations cross-chain, en intégrant l’analyse des paramètres, la sécurité RPC, et la vérification multi-signatures dans les audits.

Conclusion

L’attaque de 293 millions de dollars contre Kelp DAO a non seulement battu un record de pertes en 2026, mais a aussi révélé une vérité longtemps ignorée : la sécurité de la DeFi dépend autant de la qualité du code que de la configuration, de la sécurité des nœuds, et de la résilience de l’écosystème.

Techniquement, une simple configuration 1/1 DVN a suffi à déclencher une crise systémique impliquant plusieurs protocoles majeurs en seulement 46 minutes. Sur le marché, la TVL d’Aave a chuté de 8,45 milliards en deux jours, la TVL totale de la DeFi a diminué de plus de 132 milliards, et le marché revalorise désormais le risque de “pont inter-chaînes + collatéral LRT”.

Cet incident confirme aussi la double nature de la “structure LEGO” de la DeFi : une grande flexibilité et innovation, mais aussi un risque de propagation rapide en cas de défaillance d’un seul point.