#rsETHAttackUpdate

L'incident de sécurité récent impliquant le jeton rsETH de Kelp DAO s'est produit le 18 avril 2026. Les attaquants ont réussi à drainer environ $292 millions de (116 500 rsETH) du protocole.
L'exploit a été attribué par des analystes en sécurité au groupe Lazarus, lié à la Corée du Nord.
Comment l'attaque s'est produite
L'incident était une attaque sophistiquée contre l'infrastructure hors chaîne plutôt qu'une vulnérabilité dans les contrats intelligents eux-mêmes.
Message inter-chaînes falsifié : Les attaquants ont contourné la sécurité du pont en falsifiant un message inter-chaînes qui imitait une transaction légitime.
Compromission de l'infrastructure : La cible était l'adaptateur de pont alimenté par LayerZero. Les attaquants ont compromis des nœuds RPC internes associés au Réseau de Vérificateurs Décentralisés (DVN) et ont simultanément lancé une attaque DDoS contre des nœuds externes.
Échec de la vérification : En empoisonnant le processus de vérification, ils ont forcé le système à se fier à des données falsifiées, ce qui a conduit le pont à libérer 116 500 rsETH sur Ethereum sans qu'un "brûlage" ou une garantie en collatéral correspondant en amont ne soit réellement effectué.
Exploitation du collatéral : Après la création non autorisée de ces jetons "fantômes", les attaquants les ont utilisés comme collatéral sur Aave pour emprunter d'autres actifs, ce qui a causé une pression importante et des sorties de liquidités dans tout l'écosystème DeFi.
Impact immédiat et réponse
Pause du protocole : Kelp DAO a rapidement suspendu ses contrats rsETH sur le réseau principal et divers réseaux Layer-2 après avoir identifié l'activité suspecte.
Précautions DeFi : Les principaux protocoles de prêt, y compris Aave, ont décidé de geler les marchés rsETH pour protéger leurs plateformes et utilisateurs. D'autres protocoles exposés, comme ceux intégrés à Lido, ont également suspendu les dépôts ou pris des mesures de précaution.
Tentative de deuxième attaque : Après le vol initial, les attaquants ont tenté de drainer une autre fois 40 000 rsETH (~$95 million), mais cela a été empêché après que Kelp DAO ait mis sur liste noire les adresses des attaquants et suspendu les contrats concernés.
Cet événement a suscité une discussion importante dans l'industrie concernant la dépendance aux configurations à point de défaillance unique dans la sécurité des ponts et la nécessité d'une surveillance "au niveau invariant" plutôt que simplement la vérification des appels individuels.
‍$AAVE