LayerZero s'engage à verser 23 millions de dollars à DeFi United après les conséquences de l'exploitation de la faille de KelpDAO, qui a coûté 292 millions de dollars

LayerZero va investir 10 000 ETH pour contribuer au nettoyage de la faille de sécurité de Kelp DAO, d'une valeur de 292 millions de dollars, cinq jours après avoir vu ses concurrents investir massivement. L'entreprise a annoncé sur X qu'elle déposerait 5 000 ETH dans le fonds de sauvetage DeFi United et 5 000 ETH supplémentaires directement sur Aave afin de renforcer sa liquidité. Elle s'est également engagée à soutenir la liquidité de GHO. 

Suite à l' attaque, DeFi United s'efforce de rétablir le soutien total au token. La coalition a depuis publié un plan de rétablissement technique qui repose sur des dépôts échelonnés d'ETH dans le contrat de coffre-fort detrac.

Comment le piratage de 292 millions de dollars s'est-il réellement produit, et qu'a-t-il endommagé ?

Le 18 avril 2026, des pirates ont dérobé 292 millions de dollars à Kelp DAO en injectant de fausses données dans son pont afin de simuler une transaction légitime. Kelp a stoppé les tentatives suivantes 46 minutes plus tard, mais le système avait déjà distribué les 116 500 premiers rsETH en une seule transaction.

LayerZero a accusé TraderTraitor, une sous-unité du nord-coréen Lazarus, d'être à l'origine d'un autre piratage de 285 millions de dollars le 1er avril 2026. Au total, le groupe Lazarus a dérobé plus de 575 millions de dollars à DeFi en seulement 18 jours en utilisant deux méthodes d'attaque différentes. 

Au lieu de déverser les jetons volés sur le marché libre, l'attaquant a déposé environ 90 000 rsETH sur Aave et a emprunté près de 190 millions de dollars en ETH et autres actifs. Aave s'est ainsi retrouvé avec une dette irrécouvrable que le protocole n'a pas pu régler.

Aavea chuté d'environ 13 milliards de dollars, passant de 32 milliards à 20,3 milliards de dollars en quelques jours. Les utilisateurs n'ont pas pu retirer d'USDC ni d'USDT en raison d'une pénurie de liquidités.

À qui la faute, et pourquoi LayerZero a-t-il mis cinq jours à s'engager ?

La responsabilité est imputée à la fois à Kelp DAO et à LayerZero. Kelp DAO présentait une configuration 1-sur-1 fragile, constituant un point de défaillance unique, car un seul vérificateur LayerZero pouvait valider les messages. Bien que LayerZero ait mis en garde contre la sécurité accrue des options multi-vérificateurs, Kelp affirme que la configuration par défaut utilisait celle décrite par LayerZero.

David Schwartz, directeur technique émérite Ripple , a exprimé des réserves quant aux explications de LayerZero. Il a cité des déclarations antérieures du PDG de LayerZero, Bryan Pellegrino, selon lesquelles aucune application n'utilisait exclusivement le DVN de LayerZero, les qualifiant de mensongères. Les utilisateurs de X ont réagi avec virulence, beaucoup accusant LayerZero d'être à l'origine du problème. Ils lui ont également reproché de ne pas avoir fait de don à Aave , contrairement à d'autres qui avaient déposé d'importants chèques.

Cinq jours plus tard, LayerZero a versé 10 000 ETH, une fois que le fonds de secours avait dépassé les 300 millions de dollars de promesses de dons. Consensys et Joe Lubin ont promis 30 000 ETH, et Mantle a accordé un prêt à faible taux d'intérêt de 30 000 ETH avant l'intervention de LayerZero. Stani Kulechov a publié un message sur X puis a promis 5 000 ETH, tandis que Kelp a contribué à hauteur de 2 000 ETH, juste avant LayerZero.

Qu’est-ce que DeFi United et comment fonctionne son plan de relance ?

DeFi United est la coalition de sauvetage créée pour soutenir Aave après les attaques. Selon les informations disponibles, 14 entités ont rejoint cette coalition et ont contribué par le biais de subventions, de dépôts et de lignes de crédit pour venir en aide aux Aave . 

Qui a apporté son soutien à DeFi United et pour quel montant ?

Le plan de redressement comporte deux volets principaux. Premièrement, les contributeurs convertiront progressivement leurs ETH mis en gage en rsETH et les déposeront sur le pont Kelp DAO. 

Deuxièmement, ils liquideront les positions restantes de l'attaquant sur Aave et Compound grâce à des procédures spécifiques afin de récupérer davantage de fonds. Arbitrum a également gelé 30 766 ETH sur le portefeuille de l'attaquant ; la majeure partie des fonds manquants sera donc récupérée si la gouvernance l'approuve.

Qu’est-ce que cela signifie pour DeFi?

Selon Galaxy Research, DeFi a perdu plus de 605 millions de dollars en seulement 20 jours sur plus de 12 protocoles. Les applications développées sur LayerZero doivent désormais passer à unetron, car LayerZero rejette désormais toute application utilisant un vérificateur unique.

Selon DeFi, aucun groupe ne contrôle le système. Or, comme nous l'avons constaté, la reprise a reposé sur des pouvoirs centralisés tels qu'Arbitrum approuvant les mesures d'urgence, Circle gelant les portefeuilles et Aave précipitant les votes de gouvernance.

La question qui demeure est donc de savoir si le système a prouvé sa capacité d'auto-réparation, ou s'il n'a survécu que grâce à l'intervention d'acteurs centraux. La réponse dépendra de la mise à jour des protocoles avant la prochaine attaque.