2.92 milliards de dollars, une grosse affaire, et au final les deux parties se renvoient la balle, c'est un peu intéressant.

Revenons au 18 avril, lorsque Kelp DAO a été piraté et a perdu 116 500 rsETH, inscrivant cette attaque comme le plus grand vol dans le domaine DeFi cette année. Par la suite, LayerZero a publié un rapport d’enquête, indiquant que le cerveau derrière pourrait être le groupe Lazarus de Corée du Nord. Leur méthode est en fait assez technique — ils ont d’abord infiltré le réseau de validation DVN de LayerZero, ciblant deux nœuds RPC, puis lancé une attaque DDoS contre d’autres nœuds, forçant le système à basculer vers un nœud compromis, et enfin signé de fausses transactions cross-chain.

Mais c’est là que ça devient intéressant. LayerZero a sévèrement critiqué dans son rapport le fait que Kelp ait utilisé une configuration « 1-of-1 DVN » extrêmement vulnérable, disant que cela ressemblait à une bombe à retardement pour un point unique de défaillance, incapable d’intercepter de fausses informations. Ils ont aussi dit avoir conseillé à Kelp de disperser ses nœuds, mais que ce dernier n’a pas écouté.

Kelp DAO, en entendant cela, a immédiatement piqué une crise et a répliqué lundi. Ils ont dit que cette fameuse configuration « nœud de validation unique » était en fait une option par défaut dans la documentation officielle de LayerZero, et que c’était la configuration standard pour tout nouveau jeton OFT. Kelp opère sur LayerZero depuis janvier 2024, et il y a eu une communication continue entre eux. Lors de l’expansion vers Layer 2, ils avaient même discuté de cette question, et LayerZero avait confirmé à l’époque que cette configuration était appropriée.

Là, ça devient embarrassant. D’un côté, ils disent « on vous a déjà conseillé de changer », de l’autre, ils disent « c’est la configuration par défaut officielle, et on a confirmé qu’elle était correcte ». La vérité, au final, n’est pas très claire pour les observateurs.

Mais en tout cas, la réaction de Kelp a été assez rapide : ils ont immédiatement suspendu les contrats concernés, mis en liste noire le portefeuille du hacker, et ont réussi à reprendre le contrôle de la situation. L’équipe évalue actuellement les mesures de sécurité supplémentaires pour rétablir rapidement le fonctionnement. Cette affaire rappelle aussi à toute la communauté que la sécurité cross-chain ne doit pas être prise à la légère, il faut y réfléchir sérieusement.