Aave reste privé de 8 milliards de dollars après le hack de Kelp
Le hack n’a pas touché le code d’Aave, mais le bridge de Kelp derrière rsETH ; selon DefiLlama, les dépôts restent ainsi nettement sous leur niveau d’avant le 18 avril.
À retenir
- Cinq mois après le hack de Kelp, Aave affiche encore 18,1 milliards de dollars de dépôts, soit 31% de moins que le niveau précédant l’attaque.
- Le hack n’a pas touché les smart contracts d’Aave, mais le cross-chain bridge de Kelp DAO, ce qui a permis la libération de 116 500 rsETH.
- Aave a estimé la bad debt entre 123,7 millions de dollars et 230,1 millions de dollars, tandis que les bridged assets et les cross-chain bridges mettent en lumière des risques plus larges pour la DeFi.
Cinq mois après le hack de Kelp, Aave reste encore très en dessous du niveau observé avant l’incident. Les dépôts se sont établis à 18,1 milliards de dollars (15,5 milliards d'euros), soit environ 31% de moins que les 26,1 milliards de dollars (22,4 milliards d'euros) enregistrés la veille du hack, selon DefiLlama. Le protocole lui-même est resté techniquement intact, mais les dégâts sont passés par le collateral adossé aux prêts.
Ce qui s’est passé chez Kelp
L’attaque du 18 avril ne visait pas le lending code d’Aave, mais le cross-chain bridge de Kelp DAO. Kelp est un protocole de liquid restaking et rsETH en est le receipt token. Détenir du rsETH ne signifie pas posséder de l’ether directement, mais disposer d’une créance sur de l’ether staké, et c’est précisément cette créance qui a été détournée via le bridge.
Les attaquants ont manipulé les flux de données auxquels le bridge se fiait et ont ainsi transmis un faux message. Cela a permis la libération de 116 500 rsETH, d’une valeur d’environ 292 millions de dollars (251 millions d'euros), soit près de 18% de l’offre totale. La société de cybersécurité Halborn a relié la faille à une configuration à vérificateur unique et à des nœuds de données compromis. Chainalysis a attribué l’attaque au groupe nord-coréen Lazarus Group. Il ne s’agissait donc pas d’un smart contract défaillant, mais d’une sécurité insuffisante autour du bridge.
Conséquences pour Aave
Ces tokens non couverts ont ensuite été déposés sur des lending markets. Les attaquants ont placé 89 567 rsETH sur Aave et y ont emprunté environ 193 millions de dollars (166 millions d'euros). Aave a suspendu rsETH dans 11 marchés en moins d’une heure et a gelé WETH deux jours plus tard. Le protocole a lui-même indiqué que les smart contracts n’avaient jamais été compromis.
Dans son rapport d’incident, Aave a estimé la bad debt à 123,7 millions de dollars (106 millions d'euros) si les pertes étaient réparties de manière égale. Si l’on ne retient que les bridged rsETH, ce montant montait à 230,1 millions de dollars (197 millions d'euros). Des protocoles concurrents et un plan de récupération ont ensuite comblé une grande partie du trou, mais les déposants sont revenus plus lentement que ne le laissait penser le bilan.
Pourquoi cela compte au-delà d’Aave
Cette affaire montre à quel point les constructions cross-chain restent vulnérables dans la DeFi. En 2026, les hacks sur les cross-chain bridges ont déjà causé plus de 328 millions de dollars (281 millions d'euros) de pertes au total, ce qui souligne les risques liés à ce type d’infrastructure. Pour les utilisateurs européens de crypto, c’est un point important, car les receipt tokens et les bridged assets sont de plus en plus utilisés comme collateral dans les lending markets.
La question se pose aussi au-delà d’Aave. Wrapped Bitcoin et les tokens similaires ajoutent toujours une couche supplémentaire entre l’emprunteur et l’actif sous-jacent. Toute personne qui utilise de tels tokens comme collateral doit donc regarder non seulement le prix, mais aussi le bridge, le nombre de signataires et la question de savoir s’il s’agit d’une créance sur une autre créance.
