L’exploit de 292 millions de dollars sur rsETH expose les risques inter-cha\u00eenes, for\u00e7ant l’arr\u00eat de Kelp et le gel du march\u00e9 Aave suite aux craintes de cr\u00e9ances douteuses.<\/i><\/b><\/p>\n
Une importante faille de s\u00e9curit\u00e9 a frapp\u00e9 Kelp DAO, laissant le protocole sous le choc apr\u00e8s une exploitation inter-cha\u00eenes de grande ampleur. T\u00f4t samedi, un attaquant a drain\u00e9 une part significative de son offre de rsETH via une vuln\u00e9rabilit\u00e9 suspect\u00e9e sur LayerZero. Les donn\u00e9es on-chain indiquent une op\u00e9ration soigneusement pr\u00e9par\u00e9e impliquant des outils d’obfuscation et des appels de contrat cibl\u00e9s. Les r\u00e9actions du march\u00e9 ont suivi rapidement, avec des effets d’entra\u00eenement sur les plateformes DeFi associ\u00e9es.<\/span><\/p>\n Les attaquants ont siphonn\u00e9 environ 116 500 rsETH, \u00e9valu\u00e9s \u00e0 pr\u00e8s de 292 millions de dollars aux prix actuels. Les enregistrements blockchain montrent que le drainage s’est produit \u00e0 <\/span>17:35 UTC<\/span><\/a> via un appel \u00e0 la fonction \u00ab\u00a0lzReceive\u00a0\u00bb sur le contrat EndpointV2 de LayerZero. Cet appel a d\u00e9clench\u00e9 le syst\u00e8me de pont de Kelp pour lib\u00e9rer des fonds directement vers une adresse contr\u00f4l\u00e9e par l’attaquant.<\/span><\/p>\n Le financement de l’exploit remonte \u00e0 environ 10 heures. L’attaquant a utilis\u00e9 le pool 1-ETH de Tornado Cash, une m\u00e9thode souvent associ\u00e9e \u00e0 l’obfuscation de transactions. Peu apr\u00e8s la br\u00e8che, l’enqu\u00eateur blockchain ZachXBT a <\/span>signal\u00e9 l’incident<\/span><\/a>, estimant les pertes \u00e0 plus de 280 millions de dollars sur Ethereum et Arbitrum.<\/span><\/p>\n Kelp DAO a r\u00e9pondu en moins d’une heure, durant laquelle sa multisig d’urgence a ex\u00e9cut\u00e9 une fonction \u00ab\u00a0pauseAll\u00a0\u00bb sur les contrats cl\u00e9s. Les syst\u00e8mes affect\u00e9s incluaient le LRT Deposit Pool, le module de retrait, l’oracle et le jeton rsETH lui-m\u00eame. Cette man\u0153uvre a stopp\u00e9 les d\u00e9g\u00e2ts suppl\u00e9mentaires et emp\u00each\u00e9 d’autres retraits.<\/span><\/p>\n Deux tentatives de suivi de l’attaquant ont \u00e9chou\u00e9. <\/span>Les transactions \u00e0 18:26 et 18:28 UTC<\/span><\/a> ont tent\u00e9 de drainer 40 000 rsETH suppl\u00e9mentaires, valant environ 100 millions de dollars. Toutes deux ont \u00e9t\u00e9 rejet\u00e9es en raison de l’\u00e9tat gel\u00e9 du protocole. Sans cette intervention, les pertes totales auraient pu approcher 391 millions de dollars.<\/span><\/p>\n Earlier today we identified suspicious cross-chain activity involving rsETH. We have paused rsETH contracts across mainnet and several L2s while we investigate.<\/p>\n We are working with @LayerZero_Core<\/a>, @unichain<\/a>, our auditors and top security experts on RCA. <\/p>\n We will keep you\u2026<\/p>\n — Kelp (@KelpDAO) April 18, 2026<\/a><\/p><\/blockquote>\nKelp DAO g\u00e8le son protocole apr\u00e8s une tentative d’exploit inter-cha\u00eenes de 292 millions de dollars<\/span><\/h2>\n
\n