Hack de KelpDAO sur Ethereum et Arbitrum : AAVE et LayerZero (ZRO) perdent près de 20 %

Un bridge configuré avec un seul vérificateur

L'attaque a eu lieu le samedi 18 avril 2026 à 17 h 35 UTC, au bloc 24 908 285 d'Ethereum, selon le rapport d'incident publié par LlamaRisk sur le forum de gouvernance d'Aave. Elle visait rsETH, le jeton de restaking liquide de KelpDAO.

Le bridge LayerZero V2 de KelpDAO reposait sur un seul réseau de vérification décentralisé (DVN), sans vérificateur optionnel. L'attaquant a fait accepter un paquet falsifié présenté comme venant d'Unichain. L'adaptateur Ethereum a alors libéré 116 500 rsETH sans qu'aucun jeton ne soit brûlé côté source. Selon LlamaRisk, la faille tient à cette configuration propre à KelpDAO, pas à Aave.

Le site U.Today a chiffré le vol à 290 millions de dollars et indiqué que l'attaquant avait été financé via le mixeur Tornado Cash avant l'opération.

Les rsETH déposés en garantie sur Aave

L'attaquant a réparti les rsETH sur sept adresses. Il en a déposé 89 567 sur Aave, toujours selon LlamaRisk, pour emprunter des actifs bien réels : 122,2 millions de dollars en WETH et wstETH sur Ethereum Core et 60,9 millions sur Arbitrum. Les emprunts sur Base et sur les autres réseaux de couche 2 sont restés marginaux.

Le Guardian d'Aave a détecté l'exploit à 18 h 52 UTC et a gelé les marchés rsETH sur Ethereum, Prime et Arbitrum, ainsi que les marchés wrsETH sur zkSync Era, MegaETH, Mantle, Base, Plasma, Avalanche, Ink et Linea, d'après le premier message de LlamaRisk. Les mêmes mesures ont été prises sur Aave V4. Les positions existantes n'étaient pas concernées par le gel.

Les réactions d'Aave et de KelpDAO

À 20 h 08 UTC, le fondateur d'Aave, Stani Kulechov, a confirmé le gel sur X :

rsETH has been frozen on Aave V3 and V4, the asset does not have any borrowing power as a measure due to KelpDAO bridge exploit that happened outside of Aave. Both Aave V3 and V4 does not have further exposure to rsETH.

Deux minutes plus tard, KelpDAO a annoncé avoir mis en pause les contrats rsETH sur le réseau principal et plusieurs L2. L'équipe a précisé enquêter avec LayerZero, Unichain, ses auditeurs et des experts en sécurité.

AAVE et ZRO reculent de près de 20 %

Le marché a réagi dans la nuit. Le jeton AAVE est passé de 112,10 dollars le 18 avril à 17 h UTC à 91,28 dollars le 19 avril à 9 h UTC, soit une baisse d'environ 18,6 %, selon les données horaires de CoinGecko.

Le jeton de LayerZero, ZRO, a suivi le même chemin : 1,89 dollar le 18 avril à 17 h UTC, puis 1,53 dollar le 19 avril à 7 h UTC, un recul d'environ 19 %. Il remontait à 1,73 dollar à 13 h UTC le même jour, d'après CoinGecko.

Une dette difficile à couvrir

Le 20 avril, LlamaRisk a modélisé la créance irrécouvrable d'Aave selon la répartition des pertes entre détenteurs de rsETH. Si la perte est partagée uniformément, la décote atteint 15,12 % et la dette 123,7 millions de dollars. Si elle se concentre sur les rsETH des L2, la décote monte à 73,54 % et la dette à 230,1 millions de dollars, avec un déficit de 71,45 % sur Mantle et de 26,67 % sur Arbitrum.

Le module de sécurité Umbrella, alimenté par 23 507 aWETH stakés (environ 54 millions de dollars), ne couvre qu'Ethereum Core. Le rapport recommandait de le mettre en pause pour éviter une fuite de capitaux.

Ce qui s'est passé depuis

Le 22 avril, le prestataire TokenLogic a proposé de suspendre les rachats de jetons AAVE pour préserver la trésorerie. Le vote Snapshot a été adopté et les rachats restaient suspendus fin mai.

Le 24 avril, TokenLogic a publié un plan de financement. Il retient 152 577 rsETH extraits au total, soit un déficit d'environ 163 183 ETH. KelpDAO a récupéré et gelé 40 373 rsETH (environ 43 168 ETH). Le Security Council d'Arbitrum a gelé 30 766 ETH encore détenus par l'attaquant. Les liquidations de ses positions sur Aave et Compound ont rapporté environ 14 168 WETH. Au total, 87 955 ETH, soit 54 % du déficit, étaient récupérés ou récupérables.

Pour combler les quelque 75 081 ETH restants, le plan s'appuie sur 14 570 ETH de dons d'acteurs de l'écosystème, dont EtherFi, Lido, Ethena, Ink et BGD Labs, une ligne de crédit de 30 000 ETH accordée par Mantle et une contribution de 25 000 ETH demandée à la trésorerie de l'Aave DAO.