Le plus grand vol de cryptomonnaies de l’année
Le 18 avril 2026, des pirates informatiques ont dérobé environ 290 millions de dollars en cryptomonnaies à KelpDAO, un protocole de finance décentralisée bâti sur le réseau Ethereum. Il s’agit du plus important vol d’actifs numériques de l’année. LayerZero Labs, fournisseur d’infrastructures inter-chaînes pris dans la tourmente, a attribué l’attaque à TraderTraitor, une unité spécialisée du groupe Lazarus nord-coréen, en s’appuyant sur des premiers indices techniques qui évoquent une opération étatique très sophistiquée. Ce vol intervient quelques semaines à peine après que les mêmes acteurs malveillants auraient dérobé 285 millions de dollars au protocole Drift, portant à plus de 575 millions de dollars le montant dérobé par des pirates nord-coréens au seul mois d’avril.
Sommaire
L’attaque visait le rsETH, un jeton de restaking liquide émis par KelpDAO, qui représente des ethers mis en staking et génère des rendements tout en restant utilisable dans d’autres applications décentralisées. En exploitant des failles dans le processus de vérification inter-chaînes, les voleurs ont dérobé 116 500 jetons rsETH, d’une valeur d’environ 293 millions de dollars, avant de blanchir une partie des fonds via Tornado Cash, un service de mixage de cryptomonnaies conçu pour brouiller les pistes des transactions. Un groupe d’experts des Nations unies avait précédemment estimé que la Corée du Nord avait dérobé plus de 3 milliards de dollars en cryptomonnaies depuis 2017, et que ces revenus illicites contribuaient au financement de son programme de développement d’armes nucléaires.
Cet incident va au-delà d’une simple activité criminelle isolée. Pour les analystes en sécurité, il témoigne d’une campagne menée par Pyongyang contre l’écosystème de la finance décentralisée, qui s’accélère et met en évidence des vulnérabilités fondamentales dans le fonctionnement des ponts inter-chaînes et des mécanismes de vérification. Le vol a provoqué une onde de choc dans le secteur des cryptomonnaies : le géant du crédit Aave a gelé des marchés et des milliards de dollars ont été retirés des protocoles concernés.
Comment a fonctionné l’attaque inter-chaînes
KelpDAO est un protocole de restaking liquide qui permet aux utilisateurs de déposer de l’ether et de recevoir en échange des jetons rsETH. Ces jetons dérivés représentent les actifs sous-jacents mis en staking, tout en continuant à générer des récompenses via EigenLayer, une infrastructure de restaking sur Ethereum. Grâce à des couches d’interopérabilité telles que LayerZero, les rsETH peuvent circuler entre différents réseaux blockchain. Cela accroît leur flexibilité, mais élargit aussi la surface d’attaque potentielle. Cette fonctionnalité inter-chaînes a constitué le point d’entrée de la plus importante attaque contre les cryptomonnaies enregistrée cette année.
Les attaquants ont ciblé le Decentralized Verifier Network, ou DVN, chargé de valider les messages échangés entre différentes blockchains. Au lieu d’exploiter une faille dans le code des contrats intelligents de KelpDAO, les pirates ont manipulé l’infrastructure qui assure ces opérations de vérification. Ils ont compromis certains nœuds RPC, qui servent de points de communication permettant aux applications de lire les données de la blockchain, puis injecté de fausses données dans la couche de vérification.
Pour renforcer leur attaque, les acteurs malveillants ont lancé simultanément des attaques par déni de service distribué contre des nœuds RPC légitimes. Cette salve a réduit la disponibilité des sources de données fiables et contraint le système à s’appuyer sur les nœuds compromis qui lui transmettaient de fausses informations. En somme, les attaquants ont corrompu le processus de validation, permettant à des messages inter-chaînes frauduleux d’être acceptés comme légitimes alors que les transactions correspondantes n’avaient jamais eu lieu sur la blockchain.
Une vulnérabilité majeure a rendu cette tromperie possible. KelpDAO utilisait une configuration à DVN unique pour ses opérations inter-chaînes : un seul vérificateur contrôlait donc la validité des messages, au lieu d’exiger le consensus de plusieurs validateurs indépendants. Selon LayerZero, cette configuration créait un point de défaillance unique, permettant au message falsifié de passer sans vérification supplémentaire. Les attaquants ont utilisé une charge utile conçue expressément pour envoyer au DVN un message falsifié en déclenchant le moins d’alertes possible, ce qui leur a permis de transférer sans autorisation des jetons rsETH vers des portefeuilles sous leur contrôle.
LayerZero et KelpDAO se renvoient la responsabilité
À la suite du vol, LayerZero et KelpDAO se sont publiquement opposés sur la responsabilité de la faille de sécurité. LayerZero affirme que l’incident découle entièrement du choix de KelpDAO d’utiliser une configuration à vérificateur unique, malgré les recommandations préconisant plusieurs DVN indépendants. L’entreprise a souligné avoir déjà communiqué à KelpDAO les bonnes pratiques en matière de diversification des DVN et qu’une configuration correctement renforcée, exigeant un consensus entre plusieurs vérificateurs, aurait rendu cette attaque inefficace.
LayerZero a publié une analyse technique détaillée expliquant la méthode d’usurpation des nœuds RPC et affirmant qu’il n’y avait aucun risque de contagion pour les autres actifs ou applications inter-chaînes utilisant des configurations différentes. L’entreprise a annoncé qu’elle cesserait de signer les messages des applications fonctionnant avec un seul vérificateur afin d’éviter que de tels incidents ne se reproduisent. LayerZero a identifié l’acteur malveillant comme étant TraderTraitor, un sous-groupe du groupe Lazarus connu pour cibler les plateformes de cryptomonnaies.
KelpDAO conteste cette présentation des faits. Le protocole affirme utiliser l’infrastructure de LayerZero depuis janvier 2024 et être resté en contact régulier avec ses équipes. Selon KelpDAO, des questions sur la configuration des DVN se sont posées lors de son expansion vers les solutions de couche 2, et il lui a alors été confirmé explicitement que les paramètres par défaut étaient adaptés. Le protocole soutient que la configuration par défaut de LayerZero a favorisé cette configuration vulnérable, remettant en cause l’idée que les utilisateurs devraient assumer l’entière responsabilité de paramètres de sécurité présentés comme des options standard.
En utilisant une configuration avec un point de défaillance unique, il n’y avait aucun vérificateur indépendant pour repérer et rejeter un message falsifié. LayerZero et d’autres parties externes avaient précédemment communiqué à KelpDAO les bonnes pratiques en matière de diversification des DVN. Malgré ces recommandations, KelpDAO a choisi d’utiliser une configuration DVN 1/1.
Des experts en sécurité ont pris part au débat. Selon eux, faire dépendre la sécurité de la lecture de la documentation par les utilisateurs et de leur sélection manuelle d’options plus sûres constitue un défaut fondamental de conception des systèmes décentralisés. David Schwed, directeur de l’exploitation du cabinet de sécurité blockchain SVRN, a fait valoir qu’une configuration jugée dangereuse ne devrait pas être proposée. Ce débat illustre une tension plus générale au sein de l’écosystème Web3 entre les idéaux de décentralisation et la nécessité pratique de proposer des paramètres par défaut sécurisés.
Effets en cascade sur la finance décentralisée
Le vol a eu des répercussions bien au-delà de KelpDAO, mettant en évidence l’interconnexion des protocoles de finance décentralisée modernes. Le rsETH servant de garantie sur plusieurs plateformes de prêt, l’attaque a fait peser un risque systémique qui s’est propagé dans l’écosystème en quelques heures. Aave, l’un des plus grands protocoles de prêt décentralisé, a enregistré une baisse de près de 8 milliards de dollars de la valeur totale immobilisée, les investisseurs se précipitant pour retirer leurs actifs. Le protocole a gelé les marchés du rsETH sur Ethereum, Arbitrum, Base, Mantle et Linea afin de limiter son exposition.
Les attaquants ont fait preuve d’une ingénierie financière sophistiquée en déposant les rsETH volés comme garantie sur Aave v3, puis en empruntant de l’ether enveloppé, créant ainsi une dette d’environ 195 millions de dollars sur la plateforme. Alors que les utilisateurs se précipitaient pour retirer leurs actifs afin d’éviter d’éventuelles pertes, les pools de prêt d’Aave v3 ont atteint leur capacité maximale, bloquant temporairement l’accès à plus de 5,1 milliards de dollars en stablecoins. Les protocoles Compound et Euler ont également signalé des répercussions, mais ont pris des mesures d’urgence pour limiter la contagion.
Le fondateur de Cardano, Charles Hoskinson, a analysé l’attaque lors d’une diffusion en direct, en distinguant le vol initial de la contagion qui a ensuite touché les marchés du crédit. Selon lui, la nouveauté ne résidait pas dans la falsification du pont en elle-même, mais dans la manière dont l’attaquant a utilisé les rsETH volés comme garantie pour emprunter des actifs liquides, transformant un simple vol en crise de bilan pour au moins neuf protocoles. Ce vecteur d’attaque secondaire a fait d’une garantie compromise une arme contre l’ensemble de l’écosystème DeFi.
Le marché a violemment réagi à la nouvelle. Le cours du rsETH a oscillé entre 1 600 et 2 500 dollars au cours des premières 24 heures, les fournisseurs de liquidités retirant leur soutien. La valeur totale immobilisée dans la DeFi a chuté d’environ 13 milliards de dollars dans les 48 heures qui ont suivi l’incident. Le conseil de sécurité d’Arbitrum a réussi à geler environ 30 766 ETH, d’une valeur de 71 millions de dollars, soit près d’un quart des fonds volés, mais la majorité restait sous le contrôle des attaquants.
Le groupe Lazarus et les vols commandités par un État
L’attribution du vol au groupe Lazarus nord-coréen s’inscrit dans une stratégie bien établie de vols de cryptomonnaies commandités par l’État, destinés à contourner les sanctions internationales et à financer des programmes d’armement. Le sous-groupe identifié dans cette attaque, TraderTraitor, a été associé à plusieurs vols majeurs ces dernières années, notamment au vol de 1,5 milliard de dollars à Bybit, survenu plus tôt en 2026 et qui reste le plus important vol de cryptomonnaies de l’histoire. Des observateurs des Nations unies ont documenté la manière dont Pyongyang affecte directement ces revenus illicites au développement de ses missiles nucléaires et balistiques.
Les chercheurs en sécurité constatent que les opérations cybernétiques nord-coréennes sont passées d’attaques opportunistes contre des plateformes d’échange à des intrusions sophistiquées et minutieusement préparées, visant les infrastructures fondamentales de la finance décentralisée. Alexander Urbelis, responsable de la sécurité des systèmes d’information chez ENS Labs, a décrit ces incidents non comme des événements isolés, mais comme les manifestations d’une campagne soutenue. Il a souligné que des groupes comme Lazarus ne se contentent pas de repartir plus riches : ils repartent aussi mieux armés, en utilisant les ressources dérobées pour développer leurs outils, perfectionner leurs techniques et réinvestir dans de futures campagnes.
Ces environnements ne sont pas mis à l’épreuve par des acteurs qui frappent vite et repartent. Ils subissent la pression d’adversaires disciplinés, capables d’enchaîner les points faibles de l’infrastructure, des applications et des relations de confiance.
La méthode employée révèle une évolution des stratégies de ciblage de Lazarus. Au lieu d’exploiter les vulnérabilités des contrats intelligents ou de dérober des clés privées, le groupe s’intéresse désormais aux infrastructures inter-chaînes et de restaking, les rouages qui relient différents réseaux blockchain. Ces couches sont techniquement complexes, concentrent souvent une valeur importante et sont généralement plus difficiles à surveiller que les applications visibles. En compromettant l’infrastructure de vérification plutôt que la logique des applications, les attaquants ont montré qu’ils connaissaient intimement la manière dont les systèmes décentralisés accordent leur confiance et valident les informations.
Henri Arslanian, cofondateur de Nine Blocks Capital Management, s’est dit certain de l’attribution. « Aucun autre groupe dans le monde n’a l’expertise et les moyens nécessaires pour mener un tel piratage », a-t-il déclaré, ajoutant que la sophistication technique et la sécurité opérationnelle observées lors de l’attaque contre KelpDAO sont caractéristiques de capacités étatiques. L’utilisation de Tornado Cash pour blanchir les fonds, conjuguée à une attaque en plusieurs étapes mêlant compromission de l’infrastructure et techniques d’ingénierie sociale, vient étayer cette analyse.
Tentatives de négociation et leçons de sécurité
Dans une démarche inhabituelle, le milliardaire Justin Sun, fondateur du réseau Tron, a publiquement supplié les pirates de restituer les fonds volés. Sur les réseaux sociaux, il leur a proposé de négocier directement et leur a demandé combien ils voulaient, estimant que sacrifier à la fois Aave et KelpDAO n’en valait tout simplement pas la peine. Son intervention a souligné la gravité du risque systémique posé par l’attaque, d’autant que des adresses liées à HTX, la plateforme d’échange détenue par Sun, avaient transféré des centaines de millions vers des comptes sur Aave.
Pirate de KelpDAO, combien veux-tu ? Parlons-en, avec l’aide de KelpDAO, bien sûr. Ça ne vaut tout simplement pas la peine de sacrifier Aave et KelpDAO et de les laisser s’effondrer à cause de cette attaque. De toute façon, tu ne peux pas dépenser 300 millions de dollars.
L’incident a suscité un vif débat au sein de la communauté de la sécurité blockchain sur l’équilibre entre décentralisation et sécurité. Charles Hoskinson a estimé que la défaillance se situait dans la logique de vérification, et non dans celle de l’application. Selon lui, une configuration à trois vérificateurs sur cinq, plutôt qu’à un sur un, aurait empêché la falsification. Cette critique s’étend à l’ensemble de l’écosystème Ethereum, où la complexité des interactions inter-chaînes crée des dépendances susceptibles d’aggraver les conséquences d’un point de défaillance unique.
Les professionnels de la sécurité préconisent des architectures à confiance zéro, qui partent du principe qu’une compromission surviendra et imposent une vérification rigoureuse dans les environnements complexes. Parmi les mesures recommandées figurent le renforcement des points d’accès RPC, la mise en place de mécanismes de consensus multipartites, le déploiement de défenses robustes contre les attaques par déni de service distribué et l’introduction de coupe-circuits capables de suspendre automatiquement les transactions en cas d’anomalie. L’attaque contre KelpDAO montre que, dans la finance décentralisée, la solidité de l’ensemble dépend des contrôles appliqués à chaque maillon et que la rupture de l’un d’eux peut rapidement entraîner des conséquences en cascade.
Pour ceux qui découvrent la DeFi, ce vol rappelle clairement que la décentralisation n’est pas une caractéristique binaire, mais résulte d’une série de choix en matière de confiance et de vérification. Alors que les opérations cybernétiques de la Corée du Nord continuent de s’adapter et de s’étendre, le secteur est de plus en plus pressé d’intégrer la sécurité par défaut plutôt que de la recommander, afin que les options les plus sûres soient aussi les plus faciles à utiliser et non enfouies dans une documentation technique.
L’essentiel
- Le groupe Lazarus nord-coréen, et plus précisément son sous-groupe TraderTraitor, est soupçonné d’avoir dérobé environ 290 millions de dollars en jetons rsETH à KelpDAO le 18 avril 2026
- L’attaque a exploité une configuration à vérificateur unique dans l’infrastructure inter-chaînes de KelZero, permettant aux pirates de falsifier des messages de vérification et de dérober des fonds
- Les attaquants ont compromis des nœuds RPC et lancé des attaques par déni de service distribué afin de forcer le système à s’appuyer sur des sources de données corrompues
- Le vol a provoqué une contagion systémique dans la DeFi, contraignant Aave à geler des marchés et entraînant 8 milliards de dollars de retraits sur les protocoles de prêt
- LayerZero et KelpDAO se sont publiquement renvoyé la responsabilité, LayerZero dénonçant des choix de configuration dangereux et KelpDAO affirmant avoir suivi les paramètres par défaut
- L’incident constitue le deuxième grand vol de cryptomonnaies nord-coréen d’avril 2026, après le vol de 285 millions de dollars au protocole Drift
- Environ 71 millions de dollars de fonds volés ont été gelés par le conseil de sécurité d’Arbitrum, tandis que la majorité a été blanchie via Tornado Cash
- Des groupes d’experts des Nations unies estiment que la Corée du Nord a dérobé plus de 3 milliards de dollars en cryptomonnaies depuis 2017 pour financer le développement d’armes nucléaires
