KelpDAO volé, impactant toute l'industrie DeFi, comment résoudre l'énorme créance douteuse ?

Édition | Wu sur la blockchain

Le 18 avril, l’actif cross-chain rsETH de KelpDAO a été victime d’une attaque massive, avec une perte d’environ 290 millions de dollars (environ 116 500 rsETH, représentant 18 % de l’offre en circulation). LayerZero Labs a dans sa dernière déclaration attribué cette attaque à un groupe nord-coréen Lazarus Group (également appelé TraderTraitor). Les attaquants ont pollué les nœuds RPC en aval de LayerZero DVN, combiné avec une attaque DDoS pour induire un transfert de défaillance, faisant que le DVN a confirmé que « la transaction n’a pas eu lieu », permettant ainsi de falsifier des messages cross-chain.

Cet incident, bien qu’il ne cible pas directement le protocole Aave lui-même, a déclenché une crise de liquidité systémique rare dans l’histoire de la DeFi. La TVL d’Aave a chuté d’environ 8,45 milliards de dollars en 48 heures (dernière estimation d’environ 8 à 9,5 milliards de dollars), la TVL totale de la DeFi sur toute la chaîne est passée de 994,97 milliards de dollars à 862,86 milliards, évaporant 132,1 milliards de dollars. L’événement s’est rapidement propagé des chaînes EVM à Solana, où le taux d’utilisation USDC de protocoles de prêt comme Kamino a atteint instantanément 100 %, la DeFi étant entrée en « mode test de résistance ».

LayerZero a publié une déclaration officielle : défaillance d’un point unique, pas une vulnérabilité du protocole

Le 20 avril, LayerZero Labs a publié une explication détaillée, confirmant que l’attaque ciblait précisément la configuration 1/1 du DVN utilisée par KelpDAO (se reposant uniquement sur un seul validateur LayerZero Labs), ce qui dévie de la pratique recommandée de multi-DVN avec redondance multiple. Les attaquants ont utilisé la contamination, le remplacement binaire et l’attaque DDoS pour induire un transfert de défaillance, faisant que le DVN a confirmé que « la transaction n’a pas eu lieu », sans exploiter aucune vulnérabilité de protocole ou de clé. L’impact se limite à rsETH, sans se propager à d’autres actifs OApp/OFT. LayerZero a désactivé et remplacé tous les RPC affectés, le DVN a repris son fonctionnement, et tous les projets en configuration 1/1 sont incités à migrer rapidement vers multi-DVN. Par ailleurs, ils collaborent avec les autorités mondiales pour suivre les fonds.

Cependant, le développeur principal de Yearn Finance, banteg, a exprimé des doutes clairs sur cette description. Il a déclaré que qualifier l’incident de « RPC poisoning » (empoisonnement RPC) n’était pas précis et confondait les concepts. Dans une attaque réseau traditionnelle, le poisoning RPC consiste à altérer des résolveurs partagés (DNS, ARP, cache, etc.) en dehors de la frontière de confiance, sans que la partie réceptrice ait de raison de douter de la source. Mais dans cette attaque, les attaquants ont pénétré la frontière de confiance interne de LayerZero, accédant à la liste RPC, compromettant deux nœuds dépendant du DVN et remplaçant le fichier binaire op-geth, ce qui ressemble davantage à une intrusion dans l’infrastructure (infra breach) ou une attaque de la chaîne d’approvisionnement, plutôt qu’à une simple contamination externe. banteg estime que cette description sous-estime la gravité de l’attaque et recommande, avant de connaître la source précise de la vulnérabilité, de ne pas précipiter la restauration du pont cross-chain.

Aave en première ligne : environ 200 millions de dollars de créances douteuses + crise de liquidité

Après l’attaque, les hackers ont utilisé le rsETH volé comme garantie pour emprunter de l’ETH sur Aave, entraînant environ 195 à 216 millions de dollars de créances irrécouvrables par liquidation classique. Sur Aave V3, plusieurs marchés ETH ont atteint un taux d’utilisation de 100 %, provoquant une vague massive de retraits — Justin Sun a lui seul retiré environ 65 500 ETH. Selon DeFiLlama, la TVL d’Aave a diminué de plus de 8 milliards de dollars en deux jours, la panique se répandant sur le marché.

Le responsable stratégique de Spark, monetsupply.eth, a indiqué que Spark avait déjà retiré rsETH et autres actifs à faible utilisation dès janvier, resserrant la gamme de garanties. Bien que cela ait entraîné une perte à court terme pour certaines activités, cette stratégie prudente s’est avérée efficace : le marché ETH de SparkLend maintient une liquidité de retrait suffisante, tandis que la liquidité sur plusieurs marchés d’Aave a commencé à faire défaut.

Comment résoudre l’énorme créance douteuse ? Trois options devant nous

L’union de DeFiLlama, 0xngmi, a analysé que KelpDAO dispose de trois principales voies de traitement :

1. Répartition des pertes entre tous les utilisateurs : correspondant à une réduction de 18,5 %, soit environ 216 millions de dollars de créances irrécouvrables. L’umbrella ETH pourrait couvrir environ 55 millions de dollars, le trésor d’Aave environ 85 millions, et le reste d’environ 76 millions pourrait être comblé par emprunt ou vente de tokens AAVE d’une valeur d’environ 51 millions.

2. Concentration des pertes sur les détenteurs de rsETH sur L2 : pouvant entraîner environ 341 millions de dollars de créances irrécouvrables, non couvertes par l’umbrella.

3. Compensation basée sur un snapshot avant l’attaque : en raison des importants mouvements de fonds, et du fait que le protocole utilise une structure poolée, la mise en œuvre serait difficile. Même dans ce cas, après couverture par l’umbrella, il pourrait rester environ 91 millions de dollars de pertes.

Yishi, fondateur d’OneKey, a déclaré que la meilleure solution serait « de négocier avec le hacker, en offrant une prime de 10 à 15 % » ; si la négociation échoue, le principal risque serait supporté par le fonds écologique de LayerZero. KelpDAO, en tant que « partie la plus faible », pourrait compenser par des tokens ou des revenus futurs, ou envisager une vente globale à LayerZero (L0) ou BMNR. L’umbrella d’Aave et stkAAVE constituent la dernière ligne de défense, mais il met aussi en garde : les déposants en WETH ne devraient pas supporter la réduction, sinon des protocoles comme Morpho, Spark, Fluid, Euler pourraient réévaluer leur prix, et la confiance dans la voie LRT serait globalement compromise.

Actuellement, le module de sécurité Umbrella d’Aave subit sa première véritable épreuve, sa capacité à couvrir entièrement le déficit restant reste incertaine.

La position du Fonds Ethereum devient un point focal, la confiance de l’industrie en pâtit

L’analyste DeFi Ignas a souligné que le Fonds Ethereum (EF) détient environ 48 millions de dollars d’actifs sur le réseau principal d’Aave. Si le marché principal ne subit pas de réduction, cela renforcerait la sécurité de la position EF. L’EF, qui évitait depuis longtemps la DeFi, a récemment commencé à s’y engager dans des « DeFi à faible risque », et cet incident pourrait influencer ses décisions futures.

Plus largement, l’événement a suscité une réflexion dans l’industrie : risques de confiance liés aux collatéraux LST/LRT externes, vulnérabilités des ponts cross-chain en cas de défaillance unique, et mécanismes de liquidité en situation de stress extrême. Sur Solana, le USDC Reserve de Kamino Prime Market a atteint un taux d’utilisation de 100 %, plusieurs Vault dépassant 95 %, montrant que la fuite des fonds s’est étendue cross-chain.

Le « rite de passage » de la DeFi ou un tournant ?

Il ne s’agit pas d’une vulnérabilité dans le code d’Aave, mais d’une réaction en chaîne systémique déclenchée par une « confiance erronée dans les actifs de garantie ». Comme l’ont souligné plusieurs analystes, la configuration 1/1 DVN de KelpDAO, ainsi que la dépendance excessive à des collatéraux externes, illustrent le risque collectif.

LayerZero insiste sur le fait que « l’architecture modulaire de sécurité a isolé l’impact », mais l’industrie doit encore renforcer ses mécanismes d’admission des collatéraux, imposer des standards multi-DVN, et améliorer la gestion des créances douteuses.

La capacité d’Aave à traverser cette crise grâce à l’umbrella sera un indicateur clé de la résilience de la DeFi. À court terme, la fuite de TVL et la panique pourraient perdurer ; à moyen et long terme, si les créances douteuses sont gérées de manière ordonnée et si le protocole évolue, cet incident pourrait devenir une étape importante dans la gestion des risques. Sinon, comme le craint Yishi, la reconstruction de la confiance dans la voie LRT et dans la DeFi dans son ensemble pourrait prendre beaucoup plus de temps.