- KelpDAO affirme que l’infrastructure DVN de LayerZero a été compromise le 18 avril, causant plus de 300 millions de dollars de pertes dans la DeFi.
- Des chercheurs indépendants ont confirmé que l’attaque provenait de la frontière de confiance de LayerZero, et non d’une erreur de configuration de Kelp.
- KelpDAO migre rsETH vers Chainlink CCIP, citant l’historique de sept ans de Chainlink qui a sécurisé plus de 30 billions de dollars de valeur.
KelpDAO a publiquement contesté la version de LayerZero concernant une exploitation du 18 avril qui a causé plus de 300 millions de dollars de pertes dans la DeFi.
Le protocole a publié un article détaillé citant des chercheurs en sécurité indépendants, des communications internes et des données on-chain.
KelpDAO maintient que la propre infrastructure de LayerZero a été compromise, et non une erreur de configuration de la part de Kelp.
L’équipe a depuis annoncé une migration complète vers le protocole d’interopérabilité inter-chaînes (CCIP) de Chainlink pour la sécurité de rsETH.
La brèche de l’infrastructure de LayerZero attire l’examen indépendant
Le 18 avril 2026, des attaquants ont exploité l’infrastructure DVN de LayerZero, drainant plus de 300 millions de dollars des protocoles DeFi.
KelpDAO a détecté deux transactions falsifiées supplémentaires totalisant 100 millions de dollars et a suspendu ses contrats avant que d’autres dommages ne se produisent.
La réponse de LayerZero, publiée plus de 34 heures plus tard, a attribué l’incident à une attaque par usurpation de RPC. Cependant, des chercheurs indépendants de SEAL 911 et d’autres ont conclu que la brèche provenait de l’intérieur de la propre frontière de confiance de LayerZero.
Un chercheur en sécurité a déclaré que l’attaque de LayerZero n’était pas un empoisonnement RPC mais plutôt une brèche d’infrastructure à l’intérieur du périmètre.
Un autre rapport a noté que le seul DVN requis était le LayerZero DVN étiqueté par Etherscan, ce qui a considérablement réduit le domaine de défaut probable.
L’évaluation de SEAL 911 a en outre confirmé que des acteurs menaçants, liés avec une haute probabilité à la RPDC, ont frauduleusement déclenché une attestation du LayerZero DVN.
Les attaquants ont compromis deux nœuds RPC utilisés par le DVN de LayerZero, puis ont exécuté un DDoS sur les nœuds restants. Cela a forcé les signataires du DVN à valider une transaction inexistante.
Le propre post-mortem de LayerZero a reconnu que les attaquants ont eu accès aux listes RPC de son DVN et ont échangé les binaires des nœuds, déclarant : « l’attaquant a pu obtenir l’accès à la liste des RPC que notre DVN utilise, en compromettre deux… et échanger les binaires exécutant les nœuds op-geth. »
After the recent LayerZero exploit, we are taking steps to ensure rsETH is fully secure, which is why we are migrating to @chainlink CCIP.
From the April 18 incident, it is clear that LayerZero's own infrastructure was exploited, resulting in $300M in losses across DeFi.… https://t.co/beIrfZZLlh
— Kelp (@KelpDAO) May 5, 2026
De plus, les données d’analyse de Dune ont montré qu’environ 47 % des contrats OApp de LayerZero utilisaient une configuration 1-1 DVN. Plus de 90 % de tous les messages LayerZero au cours des 90 jours précédents dépendaient du DVN LayerZero Labs.
Cela contredisait directement une déclaration de décembre 2024 de Bryan de LayerZero, qui affirmait qu’aucune application n’utilisait une configuration 1-1 du DVN LayerZero au moment où rsETH détenait environ 200 millions de dollars de TVL sous cette configuration exacte.
KelpDAO cite des configurations approuvées et passe à Chainlink
KelpDAO a déclaré que sa configuration 1-1 DVN avait été explicitement approuvée par un membre de l’équipe LayerZero Labs via Telegram.
Pendant plus de 2,5 ans et huit discussions d’intégration documentées, LayerZero n’a jamais signalé cette configuration comme un risque de sécurité. L’équipe a également noté que la propre documentation de démarrage rapide de LayerZero utilise par défaut une configuration 1-1, sans DVN optionnel configuré.
Les chercheurs ont également signalé que LayerZero déploiement AWS par défaut de Gasolina exposait une passerelle publique sans authentification IAM, WAF ou listes d’autorisation IP.
Un rapport a noté que « le quorum est explicitement fixé à 1 », ce qui signifie que les RPC de secours servaient uniquement de basculement plutôt que de fournir un consensus multi-fournisseur.
Un autre chercheur a observé que « les RPC sont principalement des points de terminaison publics », confirmant que le déploiement de référence n’utilisait pas plusieurs fournisseurs pour parvenir à un consensus.
Le protocole a maintenant commencé à migrer rsETH vers Chainlink CCIP et son standard de jeton inter-chaînes. Le réseau d’oracles de Chainlink a facilité plus de 30 billions de dollars de valeur sur plus de sept ans.
KelpDAO a noté que Chainlink est resté pleinement opérationnel lors de multiples pannes mondiales, ce qui en fait un choix d’infrastructure plus fiable à l’avenir.
KelpDAO a également soulevé des préoccupations concernant les rôles administratifs partagés entre le DVN de LayerZero Labs et le DVN de Nethermind.
Dix adresses se chevauchant détenaient le rôle ADMIN sur les deux contrats au 8 avril. L’équipe a soutenu que ce chevauchement remet en question si les DVN fonctionnent vraiment de manière indépendante.
Un rapport médico-légal complet suivra une fois l’examen terminé, la sécurisation des actifs des utilisateurs restant la priorité immédiate de l’équipe.
Laisser un commentaire