Aave et Kelp détruisent les rsETH de l’exploiteur sur Arbitrum alors que le plan de récupération avance

Aave et Kelp ont détruit les holdings rsETH de l’exploiteur sur Arbitrum le 12 mai, a annoncé Aave dans un post sur X, confirmant que la première phase du plan de récupération technique a été achevée.

Les premières étapes du plan de récupération technique de rsETH sont achevées, y compris la destruction des rsETH de l'exploiteur sur Arbitrum. Le réapprovisionnement progressif de l'adaptateur LayerZero OFT et la reprise des opérations rsETH suivront au cours des prochains jours. https://t.co/p1tiIzp5Nr

— Aave (@aave) Mai 12, 2026

Cette action supprime les derniers rsETH non adossés restants en circulation suite à l’exploitation du pont LayerZero du 18 avril qui a drainé 292 millions de dollars du protocole.

L’attaque a impliqué 116 500 rsETH non adossés mintés via une vulnérabilité dans le pont de Kelp alimenté par LayerZero entre Unichain et Ethereum, selon un rapport d’incident publié sur le forum de gouvernance d’Aave.

La route s’appuyait sur une configuration de vérificateur 1-of-1, ce qui signifie qu’une seule approbation de vérificateur suffisait à valider les transferts inter-chaînes. L’attaquant a forgé un message indiquant faussement que les rsETH avaient été brûlés sur la chaîne source, libérant des tokens non adossés sur Ethereum.

Ces tokens ont ensuite été déposés dans les marchés Aave V3 en tant que collatéral, permettant à l’attaquant d’emprunter entre 190 millions et 236 millions de dollars en WETH et wstETH.

Ce qui complète la Phase 1

DeFi United, la coalition formée pour faire face à l’exploitation, a levé plus de 327 millions de dollars en engagements ETH pour restaurer l’adossement de rsETH sans socialiser les pertes.

Les contributeurs incluent Lido (2 500 stETH), EtherFi (5 000 ETH), LayerZero (10 000 ETH), Ethena, Mantle, Golem (1 000 ETH) et le fondateur d’Aave Stani Kulechov personnellement (5 000 ETH).

Le 9 mai, la juge fédérale Margaret Garnett a rendu une ordonnance modifiant un gel d’actifs antérieur, autorisant le Conseil de sécurité d’Arbitrum à transférer environ 30 765 ETH, d’une valeur d’environ 71 millions de dollars, vers un portefeuille contrôlé par Aave LLC.

La décision a supprimé le dernier obstacle juridique à l’exécution du plan de récupération après qu’un avis de restriction du 1er mai, lié à des jugements non liés au terrorisme nord-coréen, avait bloqué le transfert.

Comme l’a rapporté Cryptopolitan, la DAO d’Aave avait précédemment voté pour liquider les fonds ETH gelés de l’attaquant, avec l’approbation de 90 % des adresses votantes soutenues par 190 millions de tokens ARB.

Thaddeus Pinakiewicz, vice-président de la recherche chez Galaxy Digital, a déclaré que l’effort de récupération global est désormais achevé à environ 90 %.

Ce qui se passera au cours des deux prochaines semaines

Kelp a indiqué que 117 132 rsETH seront « progressivement rechargés depuis le Aave Recovery Guardian et le Kelp Recovery Safe vers l’adaptateur LayerZero OFT sur le mainnet » au cours des deux prochaines semaines.

Kulechov a écrit sur X que « la dernière étape consiste à recharger le coffre-fort du pont rsETH », ajoutant que les retraits convertissant rsETH en ETH commenceraient dans les 24 heures pour normaliser les marchés.

La valeur totale verrouillée (TVL) d’Aave s’est stabilisée au-dessus de 15 milliards de dollars après des sorties initiales de plus de 10 milliards de dollars dans les jours suivant l’exploitation. L’utilisation du prêt WETH est à 93 %, celle de l’USDT à 92 % et celle de l’USDC à 91 %, ce qui indique que la pression de retrait est terminée.

En quoi la réponse diffère des exploitations DeFi passées

La récupération de rsETH a suivi une route différente des précédentes attaques majeures. L’attaque du pont Ronin a nécessité un financement extérieur important et la récupération d’actifs pour compenser les pertes des utilisateurs dépassant 600 millions de dollars.

L’exploitation d’Euler Finance s’est terminée par le retour de la plupart des fonds volés par l’attaquant après des négociations et une pression publique.

Aave et Kelp n’ont emprunté ni l’une ni l’autre de ces voies. Au lieu de cela, la récupération s’est concentrée sur l’isolement du mauvais collatéral, la liquidation des positions de l’attaquant sur la chaîne, l’élimination des tokens contrôlés par l’exploiteur de la circulation via le brûlage du 12 mai, et la reconstruction des réserves au sein de l’infrastructure du pont grâce à des recharges financées par la coalition.

C’est également la première récupération majeure d’exploitation DeFi à naviguer dans une intervention d’un tribunal fédéral américain et à procéder avec des fonds utilisateurs qui reviennent via des canaux coordonnés par la gouvernance.