Les clés multisig de LayerZero prises en train de trader le memecoin McPepes

LayerZero, une plateforme de messagerie inter-chaînes, fait face à de nouvelles accusations de défaillances en matière de sécurité opérationnelle (OPSEC). Selon les rapports, ses clés de signature multisig de production ont négocié le memecoin McPepes sur Uniswap. 

Selon les allégations, rendues publiques le 8 mai 2026, les fautes étaient dirigées vers les techniques de gestion des clés utilisées par les entreprises d'infrastructure blockchain.

Que s'est-il passé avec le multisig Gnosis Safe 2-de-5 de LayerZero ?

Les accusations portent sur l'utilisation imprudente du multisig Gnosis Safe 2-of-5 de LayerZero, une méthode par laquelle ils sécurisent les tokens de leurs utilisateurs et contrôlent des parties clés de leur infrastructure OFT. 

À partir de captures d'écran d'une discussion interne devenue virale sur X, trois des cinq signataires du multisig Gnosis Safe étaient activement impliqués dans des activités non liées au processus multisig.

🚨DERNIÈRE MINUTE : @LayerZero_Core fait face à des allégations d'opsec après que les clés multisig de production utilisées pour sécuriser les fonds des utilisateurs aient été rapportées comme ayant également servi à trader le memecoin McPepes.

Bryan de LayerZero a déclaré que les transactions ont été effectuées par des personnes qui faisaient partie du multisig LZ mais qui ont depuis… pic.twitter.com/k5YR7jyCg6

— SolanaFloor (@SolanaFloor) Mai 8, 2026

Les adresses des signataires incluent :

• 0x1f5E377a3ADBe6f3289ADb6b21eae6427dfbb553, qui est associée au trading du memecoin appelé PEPES (McPepes) et à la plateforme Hop.
• 0xBb6633c267951E938F9B6421E4F54aa5b2c19326, qui détenait environ 12 millions de dollars et s'engageait dans le staking Stargate.
• 0x6fC8342C448F9a8d541C17579EF7A14237b8d5aD, impliqué dans la fourniture de liquidités sur Curve, PancakeSwap et SpookySwap.

Une transaction remarquable le 1er mars 2023 a impliqué l'échange de 0,198548073 ETH contre environ 1,73 million de jetons du token ERC-20 McPepes/PEPES via Uniswap V3.

Cela a été cité comme preuve que les clés de production, dont le but était de protéger des milliards de dollars, étaient liées à des sites web extérieurs au réseau, les laissant ainsi vulnérables aux attaques de phishing. 

Le multisig ne disposait pas de timelock, et les clés sont restées stagnantes pendant plusieurs années. Les mêmes parties sont responsables des paramètres et des bibliothèques de DVN contrôlés par le multisig pour les protocoles compatibles LayerZero.

Les transactions on-chain soutiennent l'affirmation selon laquelle les signataires de production ont effectué des swaps Uniswap pour McPepes avant le calendrier de déploiement du token PEPE.

 Vulnérabilités rapportées liées à la configuration multisig

Le multisig LayerZero a été créé pour servir de couche ultime de protection pour les tokens bridgés. Néanmoins, les actions décrites ont violé la règle fondamentale d'OPSEC d'isolement des clés. En utilisant les mêmes clés pour trader sur des échanges décentralisés, les signataires risquaient la vulnérabilité aux attaques provenant de contrats malveillants et de schémas de phishing. 

Il convient de mentionner que seulement deux clés volées ont suffi à vider tout le multisig.

Le moment de la divulgation est associé à un examen accru de l'approche de sécurité de LayerZero. Comme rapporté par Cryptopolitan, seulement quelques heures auparavant, Solv Protocol a révélé son intention de migrer plus de 700 millions de dollars de BTC tokenisé (SolvBTC et xSolvBTC) vers le CCIP de Chainlink depuis LayerZero.

L'entreprise a cité des mises à jour des revues de sécurité et des problèmes de pont, tels que le récent hack de Kelp DAO qui a utilisé les ponts LayerZero. Bien que Solv n'ait pas mentionné cet incident dans son annonce, cela illustre tout de même un certain degré de scepticisme envers LayerZero.

Le PDG de LayerZero, Bryan Pellegrino, s'exprime sur la question

En réponse aux accusations, le PDG de LayerZero, Bryan Pellegrino, a déclaré que les transactions provenaient d'anciens membres du portefeuille multisig qui avaient été exclus. Il a nié qu'il y ait eu un quelconque "trading de memecoin", affirmant qu'il s'agissait simplement de tests OFT, pas de spéculations. 

De plus, il a souligné que les portefeuilles n'étaient plus impliqués dans les fonctions de signataire.

Comme le montrent les captures d'écran, les sceptiques ont soulevé des problèmes concernant la description de l'incident, citant que la transaction concernait McPepes (et non PEPE) et ont exprimé des doutes sur la façon dont le trading d'ETH vers des memecoins via Uniswap pourrait être classé comme des tests OFT.

Les signataires en question auraient été retirés du multisignature. Aucune contre-réponse ni audit complet de toutes les actions précédentes effectuées par les signataires n'a été rendu public par LayerZero.

Crypto Twitter s'en prend à LayerZero

Zach Rynes s'est opposé à LayerZero, qualifiant les mesures de sécurité d'"opsec horrifique". Rynes a souligné les dangers posés par un tel comportement envers les utilisateurs exécutant LayerZero dans leurs paramètres par défaut. Il a cité des exploits potentiels de la chaîne d'approvisionnement.

De plus, il affirme que les clés de production ne doivent jamais être utilisées à autre chose que des tâches vitales.

Je souhaite sincèrement que je plaisante, c'est horrifique ce qui passe pour "opsec" dans cette industrie

— Zach Rynes | CLG (@ChainLinkGod) Mai 8, 2026

Les réactions de la communauté X vont du choc face à ce qu'ils perçoivent comme des "clowns et des criminels" travaillant dans le domaine de l'infrastructure à un appel à plus d'ouverture et de transparence.

Toute vulnérabilité potentielle au sein du multisig de LayerZero, qui agit comme un intermédiaire pour la communication chaîne-à-chaîne, pourrait être très préoccupante.