Les problèmes s'accumulent pour LayerZero face à de nouvelles accusations de trading de memecoin

LayerZero, une plateforme de messagerie inter-chaînes, fait face à de nouvelles accusations d’échecs en matière de sécurité opérationnelle (OPSEC). Selon des rapports, ses clés de signature multisig en production ont été utilisées pour échanger la memecoin McPepes sur Uniswap

Selon les allégations, qui ont été rendues publiques le 8 mai 2026, les fautes ont été imputées aux techniques de gestion des clés utilisées par des entreprises d’infrastructure blockchain.

Que s’est-il passé avec le multisig Gnosis Safe 2-sur-5 de LayerZero ?

Les accusations portent sur une utilisation imprudente du multisig Gnosis Safe 2-sur-5 de LayerZero, une méthode par laquelle ils sécurisent les jetons de leurs utilisateurs et contrôlent des parties clés de leur infrastructure OFT

D’après des captures d’écran d’une discussion interne devenue virale sur X, trois des cinq signataires du multisig Gnosis Safe étaient activement impliqués dans des activités non liées au processus multisig.

🚨DERNIÈRE HEURE : @LayerZero_Core fait face à des accusations d’OPSEC après que les clés multisig en production, utilisées pour sécuriser les fonds des utilisateurs, ont également été utilisées pour trader la memecoin McPepes.

Bryan de LayerZero a déclaré que les transactions avaient été effectuées par des personnes faisant partie du multisig LZ mais qui ont depuis… pic.twitter.com/k5YR7jyCg6

— SolanaFloor (@SolanaFloor) 8 mai 2026

Les adresses des signataires incluent :

0x1f5E377a3ADBe6f3289ADb6b21eae6427dfbb553, associée au trading de la memecoin appelée PEPES (McPepes) et à la plateforme Hop.

0xBb6633c267951E938F9B6421E4F54aa5b2c19326, qui détenait environ 12 millions de dollars et participait au staking Stargate.

0x6fC8342C448F9a8d541C17579EF7A14237b8d5aD, impliquée dans la fourniture de liquidités sur Curve, PancakeSwap et SpookySwap.

Une transaction notable du 1er mars 2023 impliquait l’échange de 0,198548073 ETH contre environ 1,73 million de jetons ERC-20 McPepes/PEPES via Uniswap V3.

Cela a été cité comme preuve que les clés de production, dont le but était de protéger des milliards de dollars, étaient liées à des sites web extérieurs au réseau, les rendant vulnérables aux attaques de phishing

Le multisig manquait d’un timelock, et les clés sont restées inactives pendant plusieurs années. Les mêmes parties sont responsables des paramètres et bibliothèques DVN contrôlés par multisig pour les protocoles compatibles LayerZero.

Les transactions en chaîne soutiennent l’affirmation selon laquelle les signataires de production ont effectué des swaps sur Uniswap pour les McPepes avant le calendrier de déploiement du jeton PEPE.

Vulnérabilités signalées liées à la configuration multisig

Le multisig LayerZero a été créé pour servir de couche ultime de protection pour les jetons bridés. Néanmoins, les actions décrites ont violé la règle fondamentale OPSEC d’isolation des clés. En utilisant les mêmes clés pour trader sur des échanges décentralisés, les signataires risquaient d’être vulnérables aux attaques de contrats malveillants et de schemes de phishing

Il est important de noter que seulement deux clés volées auraient suffi à vider tout le multisig.

Le moment de la divulgation est associé à une surveillance accrue de l’approche de sécurité de LayerZero. Comme l’a rapporté Cryptopolitan, quelques heures auparavant, Solv Protocol avait annoncé son intention de migrer plus de 700 millions de dollars en BTC tokenisé (SolvBTC et xSolvBTC) vers le CCIP de Chainlink depuis LayerZero

L’entreprise a évoqué des mises à jour des revues de sécurité et des problèmes de ponts, comme le récent piratage de Kelp DAO utilisant des ponts LayerZero. Bien que Solv n’ait pas mentionné cet incident dans son annonce, cela illustre un certain scepticisme envers LayerZero.

Bryan Pellegrino, PDG de LayerZero, s’exprime sur le sujet

En réponse aux accusations, Bryan Pellegrino, PDG de LayerZero, a déclaré que les transactions provenaient d’anciens membres du portefeuille multisig qui avaient été exclus. Il a nié qu’il s’agissait de « trading de memecoin », affirmant qu’il ne s’agissait que de tests OFT, et non de spéculations

De plus, il a souligné que les portefeuilles n’étaient plus impliqués dans des fonctions de signataire.

Le PDG de LayerZero, Bryan Pellegrino, nie les accusations. Source : X

Comme le montrent les captures d’écran, les sceptiques ont soulevé des questions concernant la description de l’incident, affirmant que la transaction concernait McPepes (pas PEPE) et remettant en question la classification du trading ETH contre memecoin via Uniswap comme étant des tests OFT.

Les signataires en question ont été apparemment retirés du multisig. Aucune contre-argumentation ou audit complet de toutes les actions précédentes des signataires n’a été rendu public par LayerZero.

Crypto Twitter s’en prend à LayerZero

Zach Rynes a critiqué LayerZero, qualifiant ses mesures de sécurité de « horrible OPSEC ». Rynes a souligné les dangers que ce comportement pose aux utilisateurs utilisant LayerZero par défaut. Il a évoqué des exploits potentiels dans la chaîne d’approvisionnement.

De plus, il affirme que les clés de production ne doivent jamais être utilisées pour autre chose que des tâches vitales.

Je souhaite vraiment plaisanter, c’est effrayant ce qui passe pour « OPSEC » dans cette industrie

— Zach Rynes | CLG (@ChainLinkGod) 8 mai 2026

Les réactions de la communauté X varient entre choc face à ce qu’ils perçoivent comme des « clowns et criminels » opérant dans le domaine de l’infrastructure, et un appel à plus de transparence.

Toute vulnérabilité potentielle dans le multisig de LayerZero, qui agit comme intermédiaire pour la communication inter-chaînes, pourrait être très préoccupante.

Les esprits les plus brillants en crypto ont déjà lu notre newsletter. Vous voulez les rejoindre ?