#KelpDAOBridgeHacked

La plus grande exploitation DeFi de 2026 – Le pont rsETH de Kelp DAO vidé de $292 millions
Le 18 avril 2026, vers 17h35 UTC, le protocole de staking de liquidités Kelp DAO a subi une importante faille de sécurité dans son pont cross-chain alimenté par LayerZero. L’attaquant a réussi à drainer 116 500 rsETH (Ether restaké), d’une valeur d’environ 292 à 293 millions de dollars. Ce montant représentait environ 18 % de l’offre totale en circulation de rsETH et constitue la plus grande attaque DeFi enregistrée en 2026 jusqu’à présent.
Comment l’attaque s’est déroulée
Le pont rsETH de Kelp DAO s’appuyait sur l’infrastructure de messagerie cross-chain de LayerZero, en particulier le contrat EndpointV2, pour permettre des transferts d’actifs fluides entre différentes blockchains. L’attaquant a exploité cette infrastructure en appelant la fonction lzReceive et en injectant un message cross-chain falsifié. Ce message manipulé a trompé la logique de vérification du pont en lui faisant croire que des fonds légitimes étaient arrivés d’un autre réseau, entraînant la libération de 116 500 rsETH directement vers une adresse contrôlée par l’attaquant.
Le portefeuille utilisé dans l’exploitation avait été financé via Tornado Cash environ 10 heures plus tôt — une technique courante pour dissimuler l’origine des transactions. Le pont était actif sur le réseau principal Ethereum et plusieurs réseaux Layer-2, dont Arbitrum, ce qui a facilité l’impact rapide cross-chain. Les analystes ont souligné une dépendance excessive aux configurations et à la documentation par défaut de LayerZero comme facteurs contributifs.
La réponse rapide de Kelp DAO
L’équipe de Kelp DAO a détecté rapidement l’activité suspecte et a publié une déclaration :
« Nous avons identifié une activité cross-chain suspecte impliquant rsETH. Alors que l’enquête se poursuit, nous avons mis en pause les contrats rsETH sur le réseau principal et plusieurs réseaux L2. Nous travaillons en étroite collaboration avec LayerZero, Unichain, nos auditeurs et des experts en sécurité de premier plan pour analyser la cause racine. »
En mettant immédiatement en pause les contrats rsETH, le protocole a empêché d’éventuelles nouvelles décharges estimées à un million de dollars ou plus. Cependant, la perte de liquidités a gravement impacté la valeur de rsETH et a laissé des actifs ETH wrapped bloqués sur plus de 20 chaînes différentes.
Effet domino dans la DeFi et crise de liquidité
Le piratage a déclenché une « ruée bancaire » généralisée dans l’écosystème DeFi. Des plateformes de prêt majeures comme Aave ont activé des gels d’urgence du marché, avec environ $100 milliards de dollars $9 environ 33 % de leur TVL( retirés et environ 196 à 236 millions de dollars en créances douteuses créés. Des pressions similaires sur la liquidité ont touché des protocoles comme SparkLend, Fluid, Upshift, Morpho, et d’autres.
La valeur totale verrouillée (TVL) dans la DeFi a diminué de 8 à 13 milliards de dollars en 48 heures, avec des tensions même dans certains pools Solana. L’incident a une fois de plus mis en évidence la vulnérabilité des ponts cross-chain en tant que composant critique de l’infrastructure DeFi. En avril 2026 seulement, les hacks ont dépassé ) millions de pertes totales, l’événement de Kelp DAO dépassant le précédent record établi par l’incident du Drift Protocol ( il y a environ trois semaines, avec environ 280 à 286 millions de dollars).
Spéculations sur Lazarus Group et enquête en cours
Plusieurs sociétés de sécurité et analystes on-chain ont suggéré des liens possibles avec Lazarus Group, affilié à la Corée du Nord, LayerZero indiquant également des signaux liés. Aucune confirmation officielle n’a encore été émise. Une partie des fonds volés a déjà été échangée contre de l’ETH sur Ethereum et Arbitrum alors que l’attaquant tente de dissimuler la piste ; les efforts de traçage se poursuivent.
Leçons pour l’industrie
Le piratage du pont Kelp DAO souligne les risques importants inhérents au staking de liquidités et aux architectures de ponts omnichain. Bien que LayerZero et des solutions similaires offrent une interopérabilité puissante, elles restent vulnérables aux points de défaillance uniques et aux attaques de falsification de messages.
Kelp DAO s’est engagé à publier un rapport détaillé après la conclusion complète de l’enquête. Pour les utilisateurs et développeurs de DeFi, cet événement sert de rappel brutal de la nécessité de renforcer la sécurité des ponts, de mettre en place des systèmes de vérification robustes et d’améliorer les protocoles de réponse d’urgence.