Le CTO de Ripple met en garde : les ponts DeFi pourraient reproduire les failles de style KelpDAO

David Schwartz, Chief Technology Officer de Ripple, a émis un nouvel avertissement au secteur de la finance décentralisée (DeFi), soulignant que les ponts inter-chaînes largement utilisés pourraient être vulnérables aux mêmes faiblesses structurelles qui ont permis la récente exploitation de KelpDAO, l’une des plus grandes cyberattaques crypto de 2026. Sur X, il a déclaré avoir examiné plusieurs infrastructures DeFi, en se concentrant uniquement sur la sécurité et les risques.

Ses remarques font suite à quelques jours seulement après qu’des attaquants ont vidé environ 292 millions de dollars d’actifs du pont rsETH de KelpDAO, une brèche qui a ravivé les inquiétudes concernant la sécurité de l’infrastructure inter-chaînes.

Selon ses recherches, il a déterminé que la plupart des systèmes DeFi incluent des outils de sécurité de premier ordre, mais les mécanismes mêmes conçus pour prévenir les attaques de style KelpDAO sont traités comme optionnels. Selon lui, cela est largement dû au fait que les équipes ne souhaitent pas supporter les coûts supplémentaires de complexité opérationnelle.

Il a écrit : « Ils ont généralement recommandé, en pratique, de ne pas se soucier d’utiliser les mécanismes de sécurité les plus importants en raison des coûts de commodité et de complexité opérationnelle. »

Schwartz a déclaré que ses préoccupations sont apparues lors de l’évaluation des systèmes de pont pour le stablecoin RLUSD prévu par Ripple. Bien que de nombreux protocoles semblent robustes dans leur conception, il a fait valoir que les déploiements réels sont souvent insuffisants car les équipes privilégient la commodité et l’expansion rapide plutôt que des pratiques de sécurité strictes.

Schwartz affirme que les plateformes DeFi privilégient l’expansion inter-chaînes au détriment de la sécurité

Dans son message, Schwartz a également souligné souligné que la course à l’échelle inter-chaînes a créé une culture où la croissance prime sur la sécurité, dans laquelle les garde-fous les plus importants sont abandonnés. Il a affirmé que les arguments de vente de la plupart des plateformes mettent l’accent sur une intégration facile, avec l’attente non dite que les outils de sécurité les plus robustes ne seraient en réalité pas utilisés.

De plus, il a déclaré que l’attaque de KelpDAO reflète un schéma dangereux dans lequel les équipes optent pour la commodité plutôt que pour la sécurité de pointe déjà disponible, un phénomène similaire à ce qu’il a observé lors de ses évaluations DeFi.

Il a déclaré : « J’ai le curieux sentiment qu’une partie du problème résidera dans quelque chose comme KelpDAO choisissant de ne pas utiliser les fonctionnalités de sécurité clés de LayerZero par commodité. »

Plus récemment, certains analystes ont également tiré la sonnette d’alarme concernant le Wrapped XRP (wXRP) sur Solana, qui pourrait être la prochaine domino à tomber, car il repose sur des émetteurs tiers et présente les mêmes risques de contrepartie qui ont coûté 292 millions de dollars à KelpDAO. VET, validateur du XRP Ledger, a écrit sur X : « wXRP est un actif émis ; il ne s’approche pas de la détention de XRP natif via l’auto-garde d’un point de vue risque. »

Cependant, certains protocoles inter-chaînes ont déjà commencé à mettre en place des défenses. Flare, par exemple, a temporairement suspendu les activités de pont FXRP, reportant toute redemption de tokens.

Comment KelpDAO a-t-il perdu 292 millions de dollars ?

Environ 292 millions de dollars ont été perdus dans l’exploitation de KelpDAO, et les premières conclusions indiquaient indiquent que le groupe lié à la Corée du Nord Groupe Lazarus, et en particulier TraderTraitor, était complice. Dans une seule transaction ciblant le pont LayerZero de Kelp, un attaquant a volé 116 500 rsETH, soit environ 18 % de l’offre en circulation du token.

L’exploitation visait à empoisonner l’infrastructure RPC en obtenant un accès suffisant aux points de terminaison RPC utilisés par le DVN de LayerZero Labs pour vérifier les transactions. Cependant, cette brèche n’a affecté que la configuration rsETH de KelpDAO, sans effet de contagion sur les autres actifs ou applications inter-chaînes.

L’enquêteur blockchain ZachXBT a tiré la première alerte sur sa chaîne Telegram, et les sociétés de sécurité Cyvers et PeckShield ont rapidement corroboré le vol. Cyvers a également montré que le hacker a rechargé son portefeuille avec Tornado Cash seulement 10 heures avant l’attaque – une vieille astuce pour couvrir ses traces avant un vol.

Après l’exploitation, les tokens ont été déposés sur Aave V3 pour emprunter de l’ETH et du WETH, et les données blockchain ont révélé un blanchiment ultérieur via Tornado Cash. L’attaquant avait contracté des prêts d’environ 74 000 ETH et WETH, accumulant plus de 236 millions de dollars de passifs sur trois plateformes de prêt, un portefeuille détenant environ 120 millions de dollars d’ETH provenant d’Aave.

Schwartz s’était également exprimé peu après l’exploitation de KelpDAO. Il a décrit l’attaque comme sophistiquée et a noté qu’elle exploitait le manque de supervision de KelpDAO. Joel Katz, ancien CTO de Ripple, a également blâmé la configuration de sécurité fragile de KelpDAO pour l’exploitation et soutenu que, contrairement à l’entreprise, RLUSD adopte une approche axée sur la sécurité pour le pontage.