#rsETHAttackUpdate

L'incident de sécurité récent impliquant le jeton rsETH de Kelp DAO s'est produit le 18 avril 2026. Les attaquants ont réussi à siphonner environ $292 millions de (116 500 rsETH) du protocole.

L'exploit a été attribué par des analystes en sécurité au groupe Lazarus, lié à la Corée du Nord.

Comment l'attaque s'est produite

L'incident était une attaque sophistiquée contre l'infrastructure hors chaîne plutôt qu'une vulnérabilité dans les contrats intelligents eux-mêmes.

Message inter-chaînes falsifié : Les attaquants ont contourné la sécurité du pont en falsifiant un message inter-chaînes qui imitait une transaction légitime.

Compromission de l'infrastructure : La cible était l'adaptateur de pont alimenté par LayerZero. Les attaquants ont compromis des nœuds RPC internes associés au Réseau de Vérification Décentralisé (DVN) et ont simultanément lancé une attaque DDoS contre des nœuds externes.

Échec de la vérification : En empoisonnant le processus de vérification, ils ont forcé le système à se fier à des données falsifiées, conduisant le pont à libérer 116 500 rsETH sur Ethereum sans qu'un "brûlage" réel ou une garantie en collatéral en amont ne soit effectué.

Exploitation du collatéral : Suite à la création non autorisée de ces jetons "fantômes", les attaquants les ont utilisés comme collatéral sur Aave pour emprunter d'autres actifs, ce qui a provoqué une pression importante et des sorties de liquidités dans tout l'écosystème DeFi.

Impact immédiat et réponse

Pause du protocole : Kelp DAO a rapidement mis en pause ses contrats rsETH sur le réseau principal et divers réseaux Layer-2 après avoir identifié l'activité suspecte.

Précautions DeFi : Les principaux protocoles de prêt, dont Aave, ont décidé de geler les marchés rsETH pour protéger leurs plateformes et leurs utilisateurs. D'autres protocoles exposés, comme ceux intégrés à Lido, ont également suspendu les dépôts ou pris des mesures de précaution.

Tentative de seconde attaque : Après le vol initial, les attaquants ont tenté de siphonner une autre fois 40 000 rsETH (~$95 million), mais cela a été empêché après que Kelp DAO ait mis sur liste noire les adresses des attaquants et mis en pause les contrats concernés.

Cet événement a suscité une discussion importante dans l'industrie concernant la dépendance aux configurations à point unique de défaillance dans la sécurité des ponts et la nécessité d'une surveillance "au niveau de l'invariant" plutôt que simplement la vérification de chaque appel individuel.
‍$AAVE