L'attaque DeFi la plus coûteuse de 2026 a commencé avec le pont d'éther restaké (rsETH) de KelpDAO, et non avec un bug dans le code d'Aave. C'est précisément pour cette raison, affirme le protocole de prêt dans un rapport post-mortem officiel publié cette semaine, que l'industrie doit repenser sa manière de mesurer le risque.
Aave a annoncé qu'elle lancerait un examen de tous les actifs listés sur V3 et réécrirait ses standards de listing après que l'exploitation d'ETH restaké de $230 Million en avril ait exposé une nouvelle classe de risque DeFi.
Le rapport post-mortem du protocole a tracé l'attaque non pas à une faille dans les contrats intelligents d'Aave, mais à un échec de vérification du pont LayerZero, où un seul vérificateur a approuvé un message cross-chain falsifié qui a libéré 116,500 rsETH non adossés.
À l'avenir, Aave déclare que les évaluations des garanties prendront en compte les ponts, les dépendances aux oracles, les dépositaires et la sécurité opérationnelle, en plus des risques financiers et des contrats intelligents qu'elle criblait traditionnellement.
KelpDAO est un service de "restaking", qui permet aux utilisateurs de prendre leur éther déjà bloqué sur Ethereum pour gagner des récompenses de staking et de le réutiliser comme garantie pour obtenir un rendement supplémentaire auprès d'autres protocoles. Le token rsETH représente la créance de l'utilisateur sur cet éther restaké. Pour déplacer rsETH entre les blockchains, KelpDAO utilise LayerZero, une infrastructure appelée pont cross-chain qui transmet des messages entre les réseaux afin qu'un token émis sur une chaîne puisse apparaître sur une autre.
Les ponts s'appuient sur un ensemble de vérificateurs indépendants qui confirment que chaque message est réel avant que la chaîne réceptrice ne libère les tokens équivalents.
Lors de l'attaque d'avril, un seul de ces vérificateurs a approuvé un faux message, permettant à l'attaquant de frapper 116,500 rsETH sur la chaîne réceptrice sans aucun éther réel pour les adosser.
Ces tokens ont ensuite été déposés sur Aave, un protocole de prêt où les utilisateurs empruntent contre la garantie qu'ils déposent, et utilisés pour contracter des prêts qu'Aave n'a pas pu récupérer une fois que le rsETH s'est révélé sans valeur. Le propre code d'Aave a fonctionné exactement comme prévu. La garantie qu'elle a acceptée s'est avérée fausse car le pont qui l'a livrée avait été compromis.
Bien que LayerZero ait reconnu plus tôt ce mois-ci qu'il avait "fait une erreur" en permettant à son propre système de vérification de sécuriser des actifs de haute valeur dans une configuration un-pour-un, le rapport post-mortem d'Aave va plus loin en utilisant l'incident pour justifier une refonte plus large de la gestion des risques DeFi.
Le protocole soutient que les révisions traditionnelles, axées sur la volatilité, la liquidité et les audits de contrats intelligents, n'ont pas réussi à capturer les risques créés par les ponts, les réseaux de vérification et d'autres infrastructures situées en dehors du code applicatif.
Outre les audits de contrats intelligents et l'analyse des risques financiers, Aave a déclaré qu'elle évaluera désormais l'infrastructure des ponts, les dépendances aux oracles, les contrats tiers, les arrangements de garde, les pratiques de sécurité opérationnelle et la liquidité du marché secondaire avant d'approuver ou d'étendre les listings de garanties.
Le protocole développe également de nouvelles défenses automatisées conçues pour réagir plus rapidement lorsque les actifs de garantie montrent des signes de détresse. Parmi les propositions exposées dans le rapport post-mortem figure un système qui réduirait automatiquement le ratio prêt sur valeur (LTV) d'un actif à zéro dès que les seuils de risque prédéfinis sont dépassés, supprimant son pouvoir d'emprunt avant que les pertes ne se propagent sur l'ensemble du marché.
Depuis l'exploitation, Aave indique que ses gestionnaires des risques ont déjà exécuté environ 295 modifications de paramètres sur les marchés V3, dont 168 réductions de plafonds d'approvisionnement et 66 réductions de plafonds de prêt, visant à limiter l'exposition à des actifs individuels.
À mesure que les protocoles DeFi deviennent plus interconnectés, le rapport post-mortem d'Aave suggère que l'industrie pourrait devoir examiner non seulement les actifs qu'elle liste, mais aussi l'infrastructure dont dépendent ces actifs.