Risque lié à l’exchange

LayerZero a attribué, le 18 avril, à $290 million de l’exploitation de KelpDAO relative à la configuration rsETH inter-chaînes, le fait d’avoir été commis par le groupe Lazarus de Corée du Nord, décrivant l’attaquant comme un « acteur étatique hautement sophistiqué ». Selon LayerZero, l’incident a été limité à la configuration rsETH de KelpDAO et ne s’est pas propagé à d’autres

Message de Gate News, 21 avril — Des acteurs inconnus ont envoyé des messages frauduleux à des compagnies maritimes dont les navires étaient immobilisés à l’ouest du détroit d’Ormuz, affirmant être des autorités iraniennes et proposant un passage en toute sécurité contre le paiement de frais en Bitcoin ou Tether, selon le cabinet de risque grec MARISKS. Les messages

Ice Open Network a publié un message sur X le 20 avril, confirmant l’incident de fuite de données survenu la semaine précédente. La cause est que, après la fin des relations d’affaires avec un fournisseur de services tiers, quatre partenaires ont continué d’accéder à des serveurs externes, ce qui a divulgué les adresses e-mail des utilisateurs, les numéros de téléphone associés à la 2FA et des données reliant les identités. Le contexte de cet incident est le suivant : le token ION avait déjà chuté de 93 % il y a deux semaines, et l’équipe du projet traverse une période de vaste restructuration d’urgence.

Kelp DAO a publié une déclaration le 21 avril pour réfuter les critiques de LayerZero concernant sa configuration de 1/1 DVN, en attribuant la responsabilité fondamentale de cette faille de 292 millions de dollars à l’infrastructure de LayerZero. Aave publie un rapport d’évaluation de l’impact de l’événement : dans un scénario de pertes réparties de manière uniforme, environ 124 millions de dollars, tandis que dans un scénario où les pertes sont concentrées sur le L2, elles peuvent atteindre jusqu’à 230 millions de dollars.

Le 18 avril, une faille d’exploitation sur un pont inter-chaînes Kelp a conduit au vol de $292 millions en rsETH. Lido a indiqué une exposition de 21,6 millions de dollars via son coffre EarnETH, ce qui a poussé Aave à geler les marchés concernés. EarnETH a suspendu les transactions et procède à une réduction de levier, tandis que la trésorerie du DAO de Lido a mis en place un mécanisme de protection de $3 millions afin de couvrir les pertes potentielles. Le protocole de staking de base reste inchangé.

La bourse russe de cryptomonnaies Grinex a cessé ses activités après une cyberattaque ayant causé des pertes de plus de $13 millions. L’arrêt affecte la capacité des entreprises russes à convertir des roubles à l’international et met en difficulté le système de finance parallèle du pays.

Un piratage récent qui a vidé près de $300 millions d’un projet crypto a entraîné une crise de liquidité sur Aave, poussant les utilisateurs à retirer environ $9 milliards. Des inquiétudes concernant la qualité des garanties ont suscité des retraits massifs, mettant en évidence les risques des prêts DeFi.

KelpDAO a subi une perte de $290 million due à une faille de sécurité sophistiquée liée au groupe Lazarus. L’attaque a exploité des faiblesses de configuration dans leur système de vérification et a mis en évidence les risques liés au recours à une configuration de vérification à point unique. Des experts du secteur soulignent la nécessité d’améliorer les configurations de sécurité et de mettre en place une vérification multi-couches afin de prévenir de futurs incidents.

David Schwartz, CTO émérite chez Ripple, a analysé les vulnérabilités de sécurité des bridges après l’exploit du $292 million de Kelp DAO. Il a noté que les prestataires donnaient la priorité à la commodité plutôt qu’à une sécurité robuste, ce qui a sapé des fonctionnalités de protection essentielles. L’atteinte à Kelp DAO provenait d’une fuite de clé privée, aggravée par une configuration de sécurité simplifiée dans leur implémentation LayerZero.

La plateforme de métavers HYTOPIA, en raison du retard de réception de versements importants de remboursements de l’IRS, décide de suspendre l’exploitation de l’infrastructure de base, avec une période d’arrêt prévue de 1 à 3 mois. Le différend relatif aux factures impayées entre la plateforme et la HY Foundation a également entraîné des retards dans la livraison de certains jetons. HYTOPIA s’engage à traiter cette affaire de manière transparente et demande à la communauté de faire preuve de patience.

Curve Finance, en raison d'une attaque contre des infrastructures de base LayerZero liées à rsETH, a suspendu la fonctionnalité inter-chaînes afin de prévenir les risques, ce qui affecte le pontage inter-chaînes de CRV et le pontage rapide de crvUSD. Le fondateur Egorov a indiqué que cet incident met en évidence les risques des « prêts non isolés », et a proposé un mode de cloisonnement total comme solution de remplacement. Kelp DAO a quant à lui subi une perte d'environ 292 millions de dollars à la suite de l’attaque, ce qui a affecté les activités de prêt de la plateforme Aave.

Le pont inter-chaînes du protocole de ré-approvisionnement de liquidité Kelp a été attaqué, entraînant le vol de 116 500 rsETH, puis le dépôt de ces fonds dans Aave V3, créant environ 196 millions de dollars de créances douteuses. Le contrat d’Aave n’a pas été touché, mais cet incident révèle un risque systémique pour les garanties des LRT, exigeant que les protocoles DeFi réévaluent leurs modèles de risque, ce qui pourrait exposer les détenteurs de stkAAVE à des pertes.

L’accord de réserve a été suspendu le 20 avril concernant la frappe de l’eUSD et de l’USD3 ainsi que les opérations de désengagement de RSR en raison de l’incident d’attaque du rsETH par Kelp DAO, mais la fonction de rachat fonctionne normalement. L’attaque a provoqué une crise de liquidité d’Aave, avec une forte diminution des dépôts, et le prix du token AAVE a chuté.

Un attaquant a exploité une vulnérabilité dans le pont inter-chaînes de Kelp DAO, dérobant $293 million en rsETH non adossés. L’incident a causé des pertes importantes pour les plateformes DeFi, Aave faisant face à jusqu’à $236 million de créances douteuses et à des impacts substantiels sur le marché.

Message de Gate News : l’exploiteur de KelpDAO a emprunté plus de 82 600 ETH ($195M) à Aave en utilisant RSETH comme garantie, ce qui a entraîné l’apparition de créances douteuses sur Aave. Suite à cet incident, de nombreux baleines ont retiré des fonds d’Aave, faisant chuter son TVL de 26,396 Md$ à 20,114 Md$, soit une baisse de 6,28 Md$.

L’Association Morpho a suspendu temporairement le pont inter-chaînes OFT pour les jetons MORPHO sur Arbitrum en raison de problèmes récents impliquant Kelp DAO et le pont LayerZero, en attendant la confirmation de la cause de l’incident rsETH.

Kamino a temporairement suspendu les interactions avec des jetons liés à LayerZero par mesure de précaution, tout en autorisant les retraits et les remboursements de dettes. Ils soulignent que cette mesure vise la gestion des risques et que les fonds des utilisateurs sont en sécurité.

Les députés polonais n’ont pas réussi à faire échec au veto du président Nawrocki concernant un projet de loi sur la réglementation des cryptomonnaies visant à s’aligner sur les normes de l’UE. Les tensions montent alors que des accusations font état d’une influence russe au sein d’une grande bourse de crypto, en pleine tourmente de liquidité et de défaut de réglementation.

Le PDG de Zonda, Przemysław Kral, a attribué la perte d’accès à 4 500 BTC de la bourse, d’une valeur de $336 millions, à l’incapacité du fondateur disparu Sylwester Suszek à transférer les clés privées. Au milieu d’allégations de faillite et de demandes de retraits intensifiées, Kral affirme que Zonda reste solvable et qu’il engagera des poursuites judiciaires tout en cherchant Suszek, qui a disparu en 2022.