Vol de rsETH de 293 millions de dollars : Effondrement en cascade dans DeFi

# Vol de 293 millions de dollars en rsETH : Comment un piratage de pont a déclenché un effondrement en cascade dans DeFi

En avril 2026, une attaque de pirate sur un pont inter-chaînes basé sur LayerZero a entraîné le vol de 116 500 jetons rsETH — équivalent à près de 293 millions de dollars. L'incident ne s'est pas limité aux pertes d'un seul protocole : en raison de l'intégration profonde de rsETH dans l'écosystème de la finance décentralisée, les retombées se sont rapidement propagées à au moins neuf autres plateformes, dont Aave. Cet événement est devenu le plus grand vol de cryptomonnaies de l'année et a mis en lumière la vulnérabilité des protocoles DeFi interconnectés.

Anatomie de la vulnérabilité : Pourquoi rsETH est devenu le point de rupture

rsETH est un jeton de restaking de Kelp DAO, représentant de l'ETH « re-staké ». Les utilisateurs peuvent déposer des actifs comme stETH ou cbETH et recevoir du rsETH, qui conserve les récompenses de staking tout en devenant liquide et utilisable dans d'autres applications DeFi. Grâce à cette fonctionnalité, rsETH a connu une adoption généralisée : il est utilisé dans des pools de liquidité, comme collatéral pour des prêts, et dans des stratégies de rendement.

Cependant, cette polyvalence même a transformé rsETH en risque systémique. L'attaque n'a pas visé Kelp DAO directement, mais le pont inter-chaînes utilisant l'infrastructure LayerZero pour transférer des actifs entre blockchains. L'attaquant a exploité une vulnérabilité dans le mécanisme de vérification des messages inter-chaînes, lui permettant de générer de fausses transactions et de retirer des jetons sans les réserves correspondantes.

Effet en cascade : Quand un protocole entraîne tout l'écosystème dans sa chute

Après le vol, le prix de rsETH a chuté de 20 % en quelques heures. Mais le vrai problème n'était pas la volatilité : c'était que l'actif était intégré dans des dizaines de protocoles. Par exemple :

• Aave a immédiatement gelé tous les marchés liés à rsETH pour empêcher les nouveaux dépôts et prêts contre cet actif.
• Les pools de liquidité sur les DEX ont commencé à subir des déséquilibres en raison de retraits massifs.
• Plusieurs stratégies de rendement automatisées ont été arrêtées manuellement par les équipes des projets.

Selon Cyvers, au moins neuf protocoles étaient à risque d'insolvabilité partielle ou totale. Comme l'a noté Meir Dolev, directeur technique de l'entreprise, « le protocole était à trois minutes de perdre 100 millions de dollars supplémentaires », mais la mise en liste noire opportune de l'adresse de l'attaquant a évité d'autres pertes.

Détails techniques de l'attaque : Où la protection a-t-elle échoué ?

Bien que le rapport d'analyse de cause racine (RCA) complet n'ait pas encore été publié, les experts pointent plusieurs vecteurs de compromission possibles :

• Vérification insuffisante des messages sources dans la configuration du pont basé sur LayerZero.
• Absence de délais temporels ou de mécanismes multi-sig pour les opérations critiques de transfert d'actifs.
• Modèle trop confiant entre contrats intelligents sur différents réseaux, sans couche de vérification supplémentaire.

LayerZero se positionne comme une solution « ultra-légère » pour les interactions inter-chaînes, mais dans ce cas, la réduction des vérifications a mené à des conséquences catastrophiques. Cela soulève une question importante : à quel point les infrastructures inter-chaînes modernes sont-elles sécurisées à grande échelle ?

Enseignements clés

• Le risque systémique en DeFi augmente avec la composabilité : plus les protocoles utilisent le même actif, plus grande est la chance d'un effondrement en cascade.
• Les ponts inter-chaînes restent l'un des points d'infrastructure les plus vulnérables : plus de 60 % de tous les vols majeurs en DeFi dans l'histoire sont liés à des ponts.
• Les réponses rapides des équipes peuvent prévenir des pertes supplémentaires : dans ce cas, la mise en liste noire de l'adresse a sauvé 100 millions de dollars.
• Les jetons de restaking nécessitent une approche de sécurité spéciale, surtout lorsqu'ils sont utilisés comme collatéral.
• L'intégration avec des systèmes externes (p. ex., LayerZero) nécessite des audits indépendants, même si le protocole principal a été vérifié.

L'avenir de DeFi : Leçons tirées de la catastrophe

Après l'incident, Kelp DAO a suspendu les contrats rsETH sur Ethereum Mainnet et les réseaux L2. L'équipe collabore avec LayerZero, Unichain, des auditeurs et des experts en cybersécurité pour une enquête complète.

Ce cas met en évidence la nécessité de passer du paradigme « fais confiance, mais vérifie » à « ne fais pas confiance, vérifie constamment ». En particulier, les développeurs devraient envisager :

• D'introduire des mécanismes de délai temporel pour les gros transferts via ponts.
• D'utiliser des oracles de second niveau pour vérifier les états des actifs avant transfert.
• De créer des déclencheurs automatisés pour suspendre les intégrations en cas d'activité anormale.

DeFi continue d'évoluer, mais sans une discipline d'ingénierie plus rigoureuse et une meilleure coordination inter-protocoles, de tels incidents se reproduiront — avec des pertes encore plus importantes.

— Editorial Team