L’exploit rsETH de 292 millions de dollars expose des risques inter-cha\u00eenes, for\u00e7ant la fermeture de Kelp et le gel du march\u00e9 d’Aave en raison de probl\u00e8mes de cr\u00e9ances irr\u00e9couvrables.<\/i><\/b><\/p>\n
Une faille de s\u00e9curit\u00e9 majeure a frapp\u00e9 Kelp DAO, laissant le protocole \u00e9branl\u00e9 apr\u00e8s un exploit inter-cha\u00eenes \u00e0 grande \u00e9chelle. T\u00f4t samedi, un attaquant a vid\u00e9 une partie importante de son approvisionnement en rsETH via une vuln\u00e9rabilit\u00e9 pr\u00e9sum\u00e9e de LayerZero. Les donn\u00e9es en cha\u00eene indiquent une op\u00e9ration soigneusement pr\u00e9par\u00e9e impliquant des outils d’obscurcissement et des appels de contrat cibl\u00e9s. Les r\u00e9actions du march\u00e9 ont suivi rapidement, avec des effets d\u2019entra\u00eenement sur les plateformes DeFi associ\u00e9es.<\/span><\/p>\n Les attaquants ont siphonn\u00e9 environ 116\u00a0500 rsETH, d\u2019une valeur de pr\u00e8s de 292 millions de dollars aux prix actuels. Les enregistrements de la blockchain montrent que la fuite s’est produite \u00e0<\/span>17h35 UTC<\/span><\/a>via un appel \u00e0 la fonction \u00ab lzReceive \u00bb sur le contrat EndpointV2 de LayerZero. Cet appel a d\u00e9clench\u00e9 le syst\u00e8me de pont de Kelp pour d\u00e9bloquer des fonds directement \u00e0 une adresse contr\u00f4l\u00e9e par un attaquant.<\/span><\/p>\n Le financement de l\u2019exploit remonte \u00e0 environ 10 heures. L\u2019attaquant a utilis\u00e9 le pool 1-ETH de Tornado Cash, une m\u00e9thode souvent associ\u00e9e \u00e0 l\u2019obscurcissement des transactions. Peu de temps apr\u00e8s la violation, l’enqu\u00eateur blockchain ZachXBT<\/span>a signal\u00e9 l’incident<\/span><\/a>, estimant les pertes sup\u00e9rieures \u00e0 280 millions de dollars sur Ethereum et Arbitrum.<\/span><\/p>\n Kelp DAO a r\u00e9pondu dans l’heure, au cours de laquelle son multisig d’urgence a ex\u00e9cut\u00e9 une fonction \u00ab pauseAll \u00bb sur les contrats cl\u00e9s. Les syst\u00e8mes concern\u00e9s comprenaient le pool de d\u00e9p\u00f4t LRT, le module de retrait, Oracle et le jeton rsETH lui-m\u00eame. Cette d\u00e9cision a mis fin \u00e0 d\u2019autres d\u00e9g\u00e2ts et emp\u00each\u00e9 des retraits suppl\u00e9mentaires.<\/span><\/p>\n Deux tentatives de suivi de l’attaquant ont \u00e9chou\u00e9.<\/span>Transactions \u00e0 18h26 et 18h28 UTC<\/span><\/a>a tent\u00e9 de drainer 40 000 rsETH suppl\u00e9mentaires, d’une valeur d’environ 100 millions de dollars. Les deux ont \u00e9t\u00e9 rejet\u00e9s en raison de l\u2019\u00e9tat de pause du protocole. Sans cette intervention, les pertes totales auraient pu grimper \u00e0 pr\u00e8s de 391 millions de dollars.<\/span><\/p>\n Plus t\u00f4t dans la journ\u00e9e, nous avons identifi\u00e9 une activit\u00e9 inter-cha\u00eene suspecte impliquant rsETH. Nous avons suspendu les contrats rsETH sur le r\u00e9seau principal et plusieurs L2 pendant que nous enqu\u00eatons.<\/p>\n Nous travaillons avec@LayerZero_Core<\/a>,@unichain<\/a>, nos auditeurs et les meilleurs experts en s\u00e9curit\u00e9 sur RCA.<\/p>\n Nous vous garderons\u2026<\/p>\n \u2013 Varech (@KelpDAO)18 avril 2026<\/a><\/p>\n<\/blockquote>\n Kelp a ensuite confirm\u00e9 \u00ab une activit\u00e9 inter-cha\u00eenes suspecte \u00bb dans une d\u00e9claration publique publi\u00e9e \u00e0 20h10 UTC. L’\u00e9quipe a d\u00e9clar\u00e9 avoir suspendu les contrats sur le r\u00e9seau principal et plusieurs r\u00e9seaux de couche 2 pendant l’enqu\u00eate. Une collaboration est en cours avec<\/span>CoucheZ\u00e9ro<\/span><\/a>, Unichain, auditeurs et sp\u00e9cialistes externes de la s\u00e9curit\u00e9.<\/span><\/p>\n L\u2019accent s\u2019est tourn\u00e9 vers le pont Omnichain Fungible Token de Kelp. Ce syst\u00e8me permet les transferts rsETH \u00e0 travers les r\u00e9seaux et semble \u00eatre au c\u0153ur du chemin d’exploitation. Le montant vol\u00e9 repr\u00e9sente environ 18 % de l\u2019offre en circulation de rsETH, estim\u00e9e \u00e0 630\u00a0000 jetons. L’actif fonctionne sur plus de 20 r\u00e9seaux, dont<\/span>Arbitrage<\/span><\/a>, Base et D\u00e9filement.<\/span><\/p>\n Les ondes de choc se sont propag\u00e9es \u00e0 d\u2019autres protocoles, notamment aux march\u00e9s des pr\u00eats. L’AAVE a chut\u00e9 d’environ 10\u00a0% apr\u00e8s<\/span>rapports<\/span><\/a>que la plateforme pourrait \u00eatre expos\u00e9e \u00e0 des cr\u00e9ances irr\u00e9couvrables li\u00e9es aux positions rsETH. En r\u00e9ponse, Aave a gel\u00e9 les march\u00e9s rsETH sur les d\u00e9ploiements V3 et V4.<\/span><\/p>\n Les march\u00e9s rsETH sur Aave V3 et Aave V4 ont \u00e9t\u00e9 gel\u00e9s. Les contrats d’Aave n’ont pas \u00e9t\u00e9 exploit\u00e9s et il s’agit d’un exploit li\u00e9 \u00e0 rsETH.<\/p>\n Le gel fait suite \u00e0 un exploit du pont Kelp DAO rsETH. Le gel des march\u00e9s rsETH emp\u00eache de nouveaux d\u00e9p\u00f4ts et emprunts contre rsETH\u2026<\/p>\n -Aave (@aave)18 avril 2026<\/a><\/p>\n<\/blockquote>\n Aave a pr\u00e9cis\u00e9 que ses contrats intelligents n’\u00e9taient pas compromis. Au lieu de cela, le probl\u00e8me vient de rsETH lui-m\u00eame. L\u2019\u00e9quipe examine actuellement l\u2019activit\u00e9 d\u2019emprunt li\u00e9e \u00e0 l\u2019exploit. Les d\u00e9clarations initiales faisaient r\u00e9f\u00e9rence \u00e0 l’utilisation potentielle du<\/span>Module de s\u00e9curit\u00e9 parapluie<\/span><\/a>, bien que les mises \u00e0 jour ult\u00e9rieures aient adouci cette position. Aave affirme d\u00e9sormais qu’elle examinera les options si des pertes se mat\u00e9rialisent.<\/span><\/p>\n L\u2019incident de samedi marque la deuxi\u00e8me perturbation majeure de Kelp DAO en un an. En avril 2025,<\/span>un bug<\/span><\/a>dans son contrat de frais a provoqu\u00e9 une frappe excessive de rsETH. Cet \u00e9v\u00e9nement a entra\u00een\u00e9 une pause temporaire mais n\u2019a pas entra\u00een\u00e9 de pertes de fonds pour les utilisateurs.<\/span><\/p>\nKelp DAO g\u00e8le le protocole apr\u00e8s une tentative d’exploitation inter-cha\u00eenes de 292 millions de dollars<\/span><\/h2>\n
\n
Aave g\u00e8le les march\u00e9s rsETH apr\u00e8s que l’exploitation du pont Kelp ait suscit\u00e9 des craintes de cr\u00e9ances irr\u00e9couvrables<\/span><\/h2>\n
\n
Un incident r\u00e9p\u00e9t\u00e9 d\u00e9clenche l’alarme sur la s\u00e9curit\u00e9 et les risques inter-cha\u00eenes de Kelp DAO<\/span><\/h2>\n