Kelp DAO : 292 millions de dollars de rsETH détournés via son pont LayerZero, contagion jusqu'à Aave

2026-04-18 · Éditeur : Kelp DAO · Domaine : Systèmes Décentralisés

Un attaquant fait accepter un faux message inter-chaînes au pont de Kelp DAO et récupère 116 500 rsETH, environ 18 % de l'offre du jeton de restaking. Aave, Spark et Fluid gèlent leurs marchés rsETH.

### Contexte Le samedi 18 avril 2026 à 17 h 35 UTC, un attaquant vide le pont inter-chaînes de **Kelp DAO**, émetteur du jeton de restaking **rsETH**. Il trompe la couche de messagerie **LayerZero**, qui accepte une instruction présentée comme venant d'un autre réseau. ### Caractéristiques - **116 500 rsETH** dérobés, environ **292 millions de dollars**, soit près de 18 % des quelque 630 000 rsETH en circulation. - Pause d'urgence à 18 h 21 UTC ; deux nouvelles tentatives de 40 000 rsETH chacune échouent. - Les rsETH sans contrepartie servent de garantie sur **Aave** pour emprunter de vrais actifs ; Aave gèle ses marchés rsETH en V3 et V4 et précise que ses propres contrats ne sont pas en cause. - SparkLend et Fluid gèlent aussi leurs marchés ; le jeton AAVE recule d'environ 10 %. ### Pourquoi c'est important L'incident illustre le risque de composition de la DeFi : un jeton de restaking, transporté par un pont, sert de garantie dans un protocole de prêt. Une faille sur un maillon se propage aux autres et aux déposants qui n'utilisaient pas Kelp. ### À retenir Ponts et jetons dérivés du staking restent les maillons les plus exposés ; la configuration de la vérification des messages compte autant que le code.

Tags : Piratage, DeFi, Ponts inter-chaînes