#rsETHAttackUpdate

#rsETHAttackUpdate
L'exploitation rsETH qui s'est déroulée le 18 avril 2026 constitue le plus grand incident de sécurité dans l'industrie de la cryptomonnaie cette année, avec environ 293,7 millions de dollars drainés du protocole de restaking liquide de KelpDAO. L'attaque a exploité des vulnérabilités dans le contrat pont du protocole, créant un effet en cascade qui s'est répercuté sur plusieurs plateformes DeFi et a exposé des risques systémiques critiques dans l'infrastructure inter-chaînes.

La méthodologie de l'attaque était sophistiquée mais suivait un schéma familier observé lors de précédentes exploits de ponts. L'auteur a exploité le pont compromis pour générer des tokens rsETH non garantis, qui ont ensuite été déposés en tant que collatéral sur d'importants protocoles de prêt, notamment Aave V3, Compound V3 et Euler. En utilisant ces actifs obtenus illicitement, l'attaquant a emprunté des montants importants de WETH et de wstETH, créant plus de $236 millions de dette impayée. Les fonds volés ont été répartis entre le réseau principal Ethereum et Arbitrum, avec $178 millions et $72 millions respectivement, démontrant la nature inter-chaînes de l'exploit.

Aave s'est avéré être le protocole le plus fortement impacté, avec environ 221,39 millions de dollars en collatéral rsETH contaminé utilisé pour emprunter environ 190,86 millions de dollars en WETH et 2,33 millions de dollars en wstETH sur les deux instances Ethereum et Arbitrum. Les fournisseurs de services du protocole ont publié un rapport d'incident décrivant deux scénarios de mauvaise dette allant de 123,7 millions à 230,1 millions de dollars, ce qui a entraîné la mise en place immédiate de mesures d'atténuation des risques, notamment le gel des marchés rsETH sur Aave V3 et V4. Cette action a empêché de nouveaux dépôts mais a laissé les positions existantes exposées, provoquant un flux massif de 10,1 milliards de dollars d'actifs utilisateur hors du protocole alors que les déposants se précipitaient pour retirer leurs fonds.

La contagion s'est étendue au-delà d'Aave à au moins neuf autres protocoles. Fluid a confirmé avoir suspendu tous les marchés avec une exposition potentielle à rsETH, tandis que les partenaires de sécurité de Compound ont soumis quatre propositions de gouvernance pour ajuster les paramètres de risque sur les Comets affectés. SparkLend a gelé son exposition, et Euler a pris des mesures pour contenir la propagation du risque. Cet impact inter-protocoles met en évidence une vulnérabilité fondamentale de l'architecture interconnectée de DeFi, où des actifs profondément intégrés dans les protocoles de prêt, de coffre-fort et de liquidité peuvent transmettre des défaillances instantanément.

La réponse de KelpDAO a impliqué la mise en pause immédiate des contrats sur le réseau principal et plusieurs réseaux de couche 2 dès l'identification d'une activité inter-chaînes suspecte. L'équipe a annoncé des partenariats avec LayerZero, Unichain, leurs auditeurs et experts en sécurité pour réaliser une analyse des causes profondes. Cependant, les communications entre KelpDAO et les protocoles affectés semblent avoir été tendues, avec des rapports indiquant que LayerZero n'avait pas émis de recommandations spécifiques pour modifier la configuration du rsETH DVN malgré un canal de communication ouvert depuis juillet 2024.

L'incident soulève de sérieuses questions sur la sécurité des ponts dans l'écosystème de restaking. Comme l'ont noté des experts en sécurité de Cyvers, la capacité à créer des actifs synthétiques non garantis via des voies de pont compromis et à les utiliser pour emprunter de vrais actifs illustre précisément la façon dont de telles exploits s'intensifient rapidement. L'attaque démontre que la distribution d'actifs sur plusieurs chaînes ne répartit pas proportionnellement le risque, et que la conception des ponts est devenue une composante indissociable des profils de risque des actifs dans DeFi.

Les observateurs de l'industrie ont noté des parallèles avec l'exploitation précédente du Drift Protocol de $280 millions, que cette attaque a désormais surpassée. Le schéma consistant à utiliser un collatéral compromis pour créer une mauvaise dette sur plusieurs plateformes suggère que les cadres de gestion des risques actuels pourraient être insuffisants face à la complexité de la DeFi inter-chaînes moderne. La communauté d'Aave devrait discuter de la possibilité de retirer définitivement le rsETH de tous les marchés, suivant un schéma qui a émergé après des événements de mauvaise dette antérieurs.

Les suites de l'incident continuent de se déployer alors que les protocoles évaluent leur exposition et mettent en œuvre des mesures de remédiation. L'incident rappelle brutalement que dans le paysage interconnecté de DeFi, la sécurité n'est aussi forte que le maillon le plus faible de la chaîne de protocoles intégrés. Alors que l'industrie doit faire face aux implications de cette exploitation, l'attention se tourne vers le développement de cadres d'évaluation des risques inter-chaînes plus robustes et l'amélioration de la coordination entre protocoles lorsque des vulnérabilités sont découvertes.