LayerZero promet 23 M$ à DeFi United après les retombées de l’exploitation KelpDAO de 292 M$

LayerZero s’engagera à 10 000 ETH pour aider à nettoyer l’exploitation Kelp DAO de 292 millions de dollars, 5 jours après avoir vu ses rivaux écrire de gros chèques. L’entreprise a posté sur X, disant qu’elle déposera 5 000 ETH dans le fonds de sauvetage DeFi United et un autre 5 000 ETH directement dans Aave pour renforcer sa liquidité. Elle s’est également engagée à soutenir la liquidité GHO. 

Après l’attaque, DeFi United s’efforce de rétablir un soutien complet pour le token. La coalition a depuis publié un plan de récupération technique qui repose sur des dépôts d’ETH échelonnés dans le contrat de coffre-fort de Kelp,

Comment la piratage de $292M s’est-il réellement produit, et qu’a-t-il cassé ?

Le avril 18, 2026, les attaquants ont volé $292 millions de Kelp DAO en alimentant son pont avec de fausses données pour imiter une vraie transaction. Kelp a arrêté les tentatives ultérieures 46 minutes plus tard, mais le système avait déjà libéré les premiers 116 500 rsETH dans un seul transaction.

LayerZero a blâmé TraderTraitor, une sous-unité de la Corée du Nord Groupe Lazarus, liée à un autre piratage de $285M le avril 1 2026. Lorsqu’elles sont combinées, le Groupe Lazarus a drainé plus de $575 millions de DeFi en seulement 18 jours en utilisant deux méthodes d’attaque différentes. 

Au lieu de vendre les tokens volés sur le marché ouvert, l’attaquant a déposé environ 90 000 rsETH dans Aave et a emprunté environ 190 millions de dollars d’ETH réel et d’autres actifs. Cela a laissé Aave avec une dette mauvaise que le protocole n’a pas réussi à corriger.

La TVL d’Aave a chuté d’environ $ 13 milliard, de $32 milliard à $20.3 milliard, en quelques jours. Les utilisateurs n’ont pas pu retirer USDC ou USDT en raison d’une liquidité épuisée.

Qui est responsable, et pourquoi cela a-t-il pris cinq jours à LayerZero pour s’engager ?

La responsabilité est attribuée à la fois à Kelp DAO et à LayerZero. Kelp DAO avait une configuration faible de 1-of-1, ce qui en faisait un point unique de défaillance car seul un vérificateur LayerZero pouvait valider les messages. Et bien que LayerZero ait mis en garde contre le fait que les options multi-vérificateurs sont plus sûres, Kelp dit que la configuration par défaut utilisait celle décrite par LayerZero.

David Schwartz, CTO émérite de Ripple, a soulevé certaines préoccupations concernant l’explication de LayerZero. Il a cité des commentaires précédents du PDG de LayerZero Bryan Pellegrino selon lesquels aucune application n’utilisait uniquement le DVN LayerZero, les qualifiant de faux. Les utilisateurs de X ont réagi très agressivement car beaucoup d’utilisateurs ont étiqueté LayerZero comme étant celui derrière le désastre. Ils l’ont également critiqué pour ne pas avoir fait de dons d’aide à Aave tandis que d’autres déposaient de gros chèques.

Cinq jours plus tard, LayerZero a contribué 10 000 ETH, une fois que le fonds de récupération a franchi les 300 millions de dollars de promesses totales. Consensys et Joe Lubin ont promis 30 000 ETH, et Mantle a fait un prêt à faible intérêt de 30 000 ETH avant que LayerZero n’agisse. Stani Kulechov a posté sur X puis a promis 5 000 ETH, tandis que Kelp a contribué 2 000 ETH — juste avant LayerZero.

Qu’est-ce que DeFi United, et comment fonctionne le plan de récupération ?

DeFi United est la coalition de sauvetage formée pour soutenir Aave après les attaques. Selon des rapports, 14 entités ont rejoint et ont contribué des subventions, des dépôts et des lignes de crédit pour sauver les utilisateurs d’Aave. 

Qui a promis à DeFi United et combien

Le plan de récupération a deux parties principales. Premièrement, les supporters convertiront lentement leur ETH promis en rsETH et le déposeront dans le pont Kelp DAO. 

Deuxièmement, ils liquideront les positions restantes de l’attaquant sur Aave et Compound par des étapes spéciales pour récupérer plus de fonds. Arbitrum a également gelé 30 766 ETH du portefeuille de l’attaquant, donc la plupart des fonds manquants seront récupérés si la gouvernance approuve.

Que signifie cela pour DeFi ?

Selon Galaxy Research, DeFi a perdu plus de 605 millions $ en seulement 20 jours à travers 12+ protocoles. Les applications construites sur LayerZero doivent maintenant passer à une étape de multi-vérificateur plus forte, car LayerZero rejette désormais toute application utilisant un vérificateur 1-of-1.

Selon la DeFi, aucun groupe unique ne contrôle le système. Mais comme nous l'avons vu, la récupération a reposé sur des pouvoirs centralisés tels qu'Arbitrum approuvant des actions d'urgence, Circle gelant des portefeuilles et Aave accélérant les votes de gouvernance.

La question qui demeure est donc de savoir si le système a prouvé sa capacité à se rétablir lui-même, ou s'il n'a survécu que grâce à l'intervention d'acteurs centralisés. La réponse à cette question dépend de la capacité des protocoles à mettre à niveau leurs systèmes avant la prochaine attaque.