Kelp DAO : 292 M$ volés via LayerZero, Lazarus suspecté

Ce qui s'est passé

D'après les analyses convergentes de The Block, CoinDesk et Unchained, le kelp dao layerzero exploit repose sur une manipulation de la couche de messagerie cross-chain de LayerZero : l'attaquant est parvenu à faire passer une instruction frauduleuse pour un message légitime émis depuis un autre réseau. Trompé par cette validation, le bridge de Kelp DAO a libéré 116 500 rsETH — soit environ 292 millions de dollars — vers une adresse contrôlée par le pirate. Les fonds ont ensuite été fragmentés puis dispersés sur une vingtaine de blockchains, une technique de dilution qui complique autant le blanchiment que les tentatives de récupération. Plusieurs sociétés d'analyse on-chain pointent vers le groupe Lazarus, dont les schémas de dispersion multi-chaînes et les délais de dormance correspondent à ceux observés ici. Aucune attribution formelle n'a toutefois été confirmée à ce jour.

D'après LayerZero, les attaquants ont compromis deux nœuds RPC et déclenché un DDoS pour forcer la bascule (failover) vers un vérificateur sous leur contrôle, validant ainsi une transaction frauduleuse. Le multisig d'urgence Kelp a gelé les contrats clés à 18:21 UTC, bloquant deux tentatives supplémentaires de drain qui auraient creusé les pertes.

Une polémique oppose les deux protocoles : LayerZero pointe le choix de Kelp d'utiliser un vérificateur unique malgré ses recommandations multi-vérificateurs, tandis que Kelp DAO réplique que cette configuration s'appuyait sur l'infrastructure et les valeurs par défaut de LayerZero, et non sur un choix marginal contraire aux conseils.

Pourquoi c'est important

L'incident dépasse l'exploit Drift de quelques millions et devient le plus gros vol DeFi de 2026, alimentant un sentiment de « DeFi is dead » dans la communauté crypto. Pour les acteurs régulés, il rappelle que les bridges cross-chain restent le maillon faible : un seul vérificateur compromis suffit à valider des transactions frauduleuses portant sur des centaines de millions.

L'attribution préliminaire au groupe Lazarus, sponsorisé par Pyongyang, alimente aussi le débat sur l'efficacité des sanctions OFAC contre les portefeuilles nord-coréens. Sur les douze derniers mois, Lazarus aurait orchestré la majorité des hacks DeFi à plus de 100 M$, finançant directement le programme balistique nord-coréen selon les rapports de Chainalysis et du Trésor américain.

Ce qu'il faut retenir

• Les bridges cross-chain en single-verifier doivent migrer vers une configuration multi-vérificateurs pour réduire le risque de transaction frauduleuse.
• Les protocoles DeFi devraient documenter publiquement leurs paramètres de sécurité par défaut pour éviter les disputes post-mortem du type Kelp/LayerZero.
• Les exchanges doivent renforcer le filtrage des adresses associées à Lazarus, en particulier sur les rsETH wrappés issus de cet exploit.

Cet exploit s'inscrit dans une lignée de piratages de ponts cross-chain qui ont façonné l'histoire de la DeFi. Le hack du Ronin Bridge (Axie Infinity) en mars 2022 avait coûté 625 millions de dollars, également attribué à Lazarus par le FBI et l'OFAC. Wormhole avait perdu 325 millions de dollars la même année, et Multichain plus de 130 millions en 2023 après la disparition de son fondateur. Avec 292 millions de dollars, l'exploit Kelp DAO/LayerZero se positionne au quatrième rang des plus grands vols de ponts blockchain de l'histoire, et confirme une tendance lourde : les mécanismes de messagerie inter-chaînes concentrent un risque systémique disproportionné par rapport à leur part réelle dans la valeur totale verrouillée (TVL) du secteur DeFi.

Sur le plan sectoriel, la nouvelle a immédiatement pesé sur le cours du rsETH, qui a décroché de plus de 12 % dans les heures suivant l'annonce, entraînant par ricochet une pression baissière sur l'ensemble du secteur du restaking liquide (LRT), estimé à plusieurs milliards de dollars de TVL cumulée. Les principaux concurrents de Kelp — EtherFi, Renzo et Puffer Finance — ont vu leurs propres jetons de restaking chuter par contagion, illustrant la fragilité de confiance qui traverse ce segment encore jeune de la finance décentralisée. LayerZero Labs, de son côté, a publié un post-mortem technique promettant un audit indépendant de son infrastructure DVN (Decentralized Verifier Network) et des correctifs sur la résilience des nœuds RPC face aux attaques DDoS ciblées.

Pourquoi un attaquant peut-il forcer le failover d'un vérificateur LayerZero ?

L'architecture de LayerZero repose sur des Oracles et des Relayers indépendants — regroupés sous la bannière DVN — chargés de valider qu'un message émis sur une chaîne source correspond bien à celui livré sur la chaîne de destination. Lorsqu'un vérificateur configuré par défaut devient injoignable, le protocole prévoit un mécanisme de failover : il bascule automatiquement vers un vérificateur de secours pour ne pas bloquer le flux de transactions. C'est précisément cette continuité de service, pensée pour la disponibilité, que les attaquants ont détournée. En saturant deux nœuds RPC légitimes par un déni de service ciblé, ils ont rendu le vérificateur principal indisponible, déclenchant la bascule automatique vers un second vérificateur qu'ils contrôlaient déjà. Ce vérificateur malveillant a alors validé une transaction de retrait frauduleuse, sans qu'aucune signature multi-parties légitime ne soit requise — car Kelp DAO n'avait configuré qu'un seul jeu de vérificateurs actifs, sans redondance multi-vendeurs recommandée par LayerZero elle-même.

Ce scénario met en lumière une faiblesse structurelle des architectures cross-chain à vérificateur unique : la disponibilité prime sur l'intégrité par défaut, ce qui crée une fenêtre d'exploitation dès qu'un acteur malveillant peut influencer artificiellement la disponibilité perçue d'un composant. Les recommandations émergentes de l'industrie convergent vers une configuration multi-DVN obligatoire (au moins deux vérificateurs indépendants et non corrélés), des seuils de quorum on-chain, et une surveillance active de la latence RPC pour détecter les tentatives de DDoS avant qu'elles ne déclenchent un failover non désiré.