Le 18 avril 2026, le pont cross-chain rsETH basé sur LayerZero de Kelp DAO a été attaqué, le hacker ayant falsifié environ 116 500 rsETH d'une valeur de 292 millions de dollars, devenant ainsi le plus grand incident de sécurité DeFi à ce jour en 2026. La faille de l'attaque réside dans la vulnérabilité de validation unique configurée par Kelp DAO (1-of-1 DVN), c'est-à-dire une dépendance à un seul nœud de validation, permettant au hacker de falsifier des messages cross-chain après avoir compromis ce nœud (l'attaque étant clairement attribuée au groupe Lazarus de Corée du Nord). L'attaquant a ensuite déposé le rsETH sans garantie dans des plateformes de prêt comme Aave, empruntant environ 236 millions de dollars d'actifs réels, ce qui a causé une perte potentielle de 177 à 230 millions de dollars pour Aave, et a déclenché la suspension d'urgence du marché rsETH par neuf protocoles, entraînant la disparition de plus de 20 milliards de dollars en valeur totale verrouillée en une journée.

Réponse d'urgence et collaboration sectorielle — Aave a rapidement pris l'initiative de créer le mécanisme de secours conjoint « DeFi United », avec la participation de protocoles clés tels que Lido, Mantle, ether fi, ainsi que le fondateur d'Aave, Stani Kulechov, qui ont promis collectivement plus de 100 millions de dollars pour réparer le pool d’actifs. Une opération encore plus cruciale a été menée par le comité de sécurité d’Arbitrum, qui, via une mise à jour d’urgence multi-signature 9/12, a réussi à suivre et à geler environ 30 000 ETH (d'une valeur d’environ 70 millions de dollars) dans le compte du hacker, marquant la première fois dans l’histoire de Stage 1 L2 qu’un comité de sécurité active ses pouvoirs en situation de crise.

Impact et réflexions — Cet incident a eu un impact profond sur le secteur DeFi. Des analystes de JPMorgan ont rapidement souligné que la croissance du TVL et les vulnérabilités de sécurité continuent de freiner l’intérêt des institutions pour la DeFi. La structure du pont cross-chain, oscillant entre « liberté et flexibilité » et « sécurité absolue », a été mise en évidence comme un dilemme structurel — tout comme la configuration de sécurité ultra-faible adoptée par Kelp DAO, qui sonne l’alarme sur les normes de sécurité de l’ensemble du secteur. #rsETH攻击事件后续进展