Les créanciers nord-coréens cherchent à saisir l’ETH de Kelp DAO, gelé sur Arbitrum

Un tribunal fédéral de New York a compliqué le plan de l’Arbitrum DAO visant à indemniser les victimes de l’exploit Kelp DAO du mois dernier, d’une valeur de 292 millions de dollars. Le 1er mai, des avocats de victimes du terrorisme ont remis à l’Arbitrum DAO un avis conservatoire interdisant au DAO de déplacer 30 766 ETH (~71,1 millions de dollars) que le Conseil de sécurité d’Arbitrum avait gelés le 20 avril après avoir retracé les fonds jusqu’à des adresses contrôlées par l’auteur de l’exploit de Kelp DAO. LayerZero a attribué la brèche du pont à l’organisation Lazarus, sponsorisée par l’État nord-coréen, le même collectif lié aux piratages du réseau Ronin en 2022 et de Bybit en 2025.

Base juridique et demandes de jugement

Les demandeurs — des victimes du terrorisme non affectées par l’incident Kelp — disposent de jugements par défaut plus anciens contre la République populaire démocratique de Corée (RPDC) qui n’ont pas été exécutés depuis des années. L’avis conservatoire désigne l’Arbitrum DAO comme saisi-gagiste et traite l’ether gelé comme un bien dans lequel la Corée du Nord a un intérêt, selon la thèse que les fonds ont été volés par Lazarus au nom de Pyongyang.

La procédure a été déposée par Gerstein Harrow LLP au nom de Han Kim et Yong Seok Kim, des ressortissants américains dont un membre de leur famille, le révérend Kim Dong-shik, a été enlevé en Chine et tué par des agents nord-coréens. Une décision de 2015 du tribunal de district des États-Unis pour le district de Columbia a abouti à un jugement par défaut d’environ 330 millions de dollars contre la RPDC dans cette affaire.

L’avis conservatoire regroupe également deux jugements supplémentaires non satisfaits contre la Corée du Nord : Kaplan v. DPRK (environ 169 millions de dollars, fondé sur un prétendu soutien matériel de la RPDC aux attaques de roquettes du Hezbollah contre le nord d’Israël pendant la guerre du Liban de 2006) et Calderon-Cardona v. DPRK (378 millions de dollars, lié à l’attaque de l’aéroport de Lod en 1972 menée par des opérateurs de l’Armée rouge japonaise qui a tué 26 personnes, dont 17 pèlerins chrétiens portoricains). La valeur faciale combinée sur ces trois jugements dépasse 877 millions de dollars, auxquels s’ajoutent plus d’une décennie d’intérêts post-jugement sur les affaires les plus anciennes.

La théorie juridique s’appuie sur le Foreign Sovereign Immunities Act et le Terrorism Risk Insurance Act, qui, ensemble, permettent aux créanciers munis de jugements contre un État sponsor du terrorisme de saisir des biens détenus par le régime ou ses agences et instruments. L’avis désigne APT-38 et le groupe Lazarus comme des instruments de la RPDC.

Avancée du vote United DeFi

L’Arbitrum DAO a ouvert, le 30 avril, un test de température Snapshot sur une proposition rédigée par Aave Labs, avec comme co-auteurs Kelp DAO, LayerZero, EtherFi et Compound, afin d’envoyer l’ETH gelé à DeFi United, un fonds d’aide inter-protocoles organisé après le piratage. Le vote se termine le 7 mai.

La proposition vise à diriger les fonds vers un Gnosis Safe 3 sur 4 cosigné par Aave, Kelp DAO, EtherFi et la société de sécurité onchain Certora, désigné uniquement pour recevoir l’ETH récupéré et l’appliquer à la restauration du soutien économique de rsETH. À l’heure de publication, plus de 99 % des votes sont actuellement favorables à la proposition.

La proposition d’Aave inclut aussi une clause d’indemnisation sans plafond de la part d’Aave Labs couvrant la Fondation Arbitrum, Offchain Labs et les membres individuels du Conseil de sécurité pour toute demande découlant du gel ou de la libération. La question de savoir si cette indemnisation privée a une quelconque force face à un avis conservatoire en cours semble rester ouverte.

Critiques de la communauté et enjeux jurisprudentiels

Le traqueur blockchain ZachXBT a critiqué la stratégie des demandeurs sur X, déclarant : « C’est un cabinet d’avocats américain prédateur avec une stratégie purement maléfique. À chaque fois qu’il y a une nouvelle victime du groupe Lazarus après un exploit et que des actifs crypto se retrouvent gelés. Ces clowns viennent dire qu’ils ont une réclamation pour une victime présumée de la RPDC datant de 26 ans, sans aucun lien avec la crypto ou les exploits/vols. On dirait qu’ils ont essayé ça pour Harmony, Bybit, etc. […] Tout ce qu’ils ont fait, c’est relire mes posts après que j’ai fait la partie difficile en rassemblant des preuves pour soutenir le gel. »

Un contributeur de Yearn, banteg, a soutenu dans un message séparé que le DAO aurait le droit d’ignorer purement et simplement l’ordre, puisque les fonds proviennent proprement des victimes du hack de Kelp et de LayerZero. Il a exhorté Aave et les autres parties à rédiger des propositions de récupération à « sauter tous les multisigs intermédiaires et à transférer les fonds directement vers les contrats de récupération », en contournant une pression potentielle sur les signataires individuels.

Gerstein Harrow a déjà fait des versions de cette stratégie auparavant. Le cabinet a soutenu dans des contentieux antérieurs que les DAOs devraient être traités comme des associations non constituées, dont les membres individuels peuvent être tenus responsables de la conduite de l’entité, et au moins un juge fédéral a autorisé des demandes à avancer sur cette base.

La situation juridique laisse deux questions ouvertes pour la base de délégués d’Arbitrum au cours des quatre prochains jours. La première est de savoir si les détenteurs d’ARB qui votent oui sur la proposition DeFi United peuvent, en réalité, être tenus personnellement responsables de tout transfert ultérieur. La seconde concerne le précédent : dans un scénario de récupération où la crypto volée est traçable à la fois à des victimes immédiates de l’exploit et à un État sponsor sanctionné disposant déjà de jugements non exécutés, quel ensemble de créanciers a la meilleure prétention.