Depuis l'attaque de la passerelle KelpDAO en avril de cette année, qui a coûté environ 292 millions de dollars, le paysage de la sécurité des infrastructures cross-chain connaît un bouleversement majeur. Selon les statistiques, environ 4 milliards de dollars d'actifs ont déjà été transférés ou sont en cours de migration de LayerZero vers le protocole d'interopérabilité cross-chain (CCIP) de Chainlink.
L'attaque a eu lieu dans la nuit du 19 avril, lorsque l'attaquant a appelé une fonction du contrat LayerZero Endpoint V2, déclenchant la libération d'environ 116 500 rsETH par le contrat de pont KelpDAO, d'une valeur d'environ 292 millions de dollars américains. Le mécanisme de suspension d'urgence du protocole a ensuite empêché des pertes supplémentaires d'environ 100 millions de dollars américains.
Après l'attaque, LayerZero a publié une déclaration indiquant que, selon les premières évaluations, l'attaquant est un acteur étatique hautement sophistiqué, suspecté d'être affilié au groupe Lazarus de la Corée du Nord, nommé TraderTraitor.
La méthode d'attaque repose sur la contamination des nœuds RPC sur lesquels repose le réseau de validateurs décentralisés de LayerZero, et sur l'exploitation d'attaques DDoS pour forcer le système à basculer vers des nœuds compromis, permettant ainsi la validation de messages falsifiés. Le point central de controverse dans cet événement réside dans le fait que KelpDAO utilisait à l'époque une configuration de validateur unique 1-of-1, qui a été exploitée, entraînant un point de défaillance unique.
LayerZero reconnaît qu'il s'agissait d'une erreur grave d'autoriser son réseau de validation officiel à servir des transactions à haute valeur avec une configuration 1/1, et annonce la suspension de la signature de messages pour les configurations à un seul validateur. KelpDAO souligne que cette configuration était initialement définie comme paramètre par défaut dans le code de déploiement de LayerZero. Quelle que soit la répartition des responsabilités, cette attaque révèle la vulnérabilité de la validation des messages cross-chain dans des configurations spécifiques.
Une vague de migrations a immédiatement commencé ; le 6 mai, la partie lésée KelpDAO a annoncé en premier lieu qu'elle abandonnait LayerZero et qu'elle transférait entièrement ses infrastructures cross-chain pour rsETH vers Chainlink CCIP, devenant ainsi le premier protocole majeur à quitter LayerZero.
Dans deux jours, le protocole de staking Bitcoin, Solv Protocol, migrera son infrastructure cross-chain pour SolvBTC et xSolvBTC, d'une valeur totale dépassant 700 millions de dollars, vers CCIP, couvrant toutes les chaînes prises en charge.
Le même jour, le protocole d'assurance réassurance décentralisé Re a migré sa solution cross-chain pour le jeton de dépôt reUSD vers CCIP et l'a désigné comme solution cross-chain exclusive. Le protocole de prêt non-custodial Tydro figure également parmi les premiers à effectuer cette migration.
Le 14 mai, Kraken a annoncé le remplacement de LayerZero par Chainlink CCIP comme service cross-chain exclusif pour ses actifs cryptographiques encapsulés, y compris kBTC, couvrant plusieurs blockchains telles que Ink, Ethereum et Optimism. Le 16, Lombard a annoncé l'abandon de LayerZero et le transfert de plus de 1 milliard de dollars d'actifs adossés au bitcoin vers CCIP, en utilisant la norme cross-chain de destruction et de création de jetons.
Selon les données de DefiLlama, si l'on ne prend en compte que la valeur totale verrouillée des principaux protocoles DeFi, la somme des cinq plus grands dépasse 3,4 milliards de dollars américains ; ajoutée aux actifs institutionnels encapsulés, l'ensemble du mouvement s'élève à environ 4 milliards de dollars américains.
Coinbase a choisi CCIP comme fournisseur exclusif d'interopérabilité pour tous ses actifs encapsulés dès décembre 2025, couvrant des actifs tels que cbBTC, cbETH, cbDOGE, cbLTC, cbADA et cbXRP, avec une capitalisation boursière totale d'environ 7 milliards de dollars à l'époque. En janvier 2024, Circle a également intégré CCIP pour permettre les transferts multichaines de USDC.
Le marché reflète directement son retour sur cette migration de confiance à travers l'évolution du token.
Selon les données de CoinMarketCap, LINK a augmenté de 2,73 % au cours des 30 derniers jours, s'échangeant à 9,60 USD, avec une capitalisation boursière de 6,98 milliards de USD, se maintenant à la 16e place du marché cryptographique. En comparaison, ZRO a chuté de 22,63 % sur la même période, s'échangeant à 1,34 USD, avec une capitalisation boursière de 434 millions de USD, et a reculé à la 92e place. LayerZero fait également face à une pression supplémentaire liée à la libération de plus de 25,71 millions de jetons ZRO le 20 mai, d'une valeur d'environ 34,45 millions de USD, soit 5,07 % de l'offre en circulation.
Selon les données de Dune, le réseau LayerZero a enregistré un flux net sortant d'environ 2,01 milliard de dollars au cours des 30 derniers jours.
Derrière l'afflux massif de protocoles se trouvent les différences significatives entre l'architecture de sécurité de Chainlink CCIP et celle de LayerZero. Chainlink avait annoncé en avril 2024 que CCIP était désormais pleinement disponible, prenant en charge des blockchains telles qu'Arbitrum, Base, BNB Chain et Ethereum.
Chainlink CCIP intègre en profondeur un réseau oraculaire décentralisé composé de plusieurs opérateurs de nœuds indépendants, qui observent, valident et rapportent les événements interchaînes, complétés par un réseau de gestion des risques indépendant pour une surveillance et une protection supplémentaires. Son mécanisme de transfert de jetons intègre des fonctionnalités telles que des limites de débit et des verrouillages temporels, formant un modèle de sécurité en profondeur.
Selon les données de Dune, le montant total transféré via Chainlink CCIP a dépassé 2 milliards de dollars américains. Les stablecoins décentralisés GHO et USDC représentent la part la plus élevée, avec respectivement 22,4 % et 20,2 %, soit environ 531 millions et 481 millions de dollars américains.
En comparaison, LayerZero utilise une architecture modulaire en cinq couches qui sépare complètement l'interface, la vérification et l'exécution, permettant aux développeurs de combiner librement des réseaux de vérification décentralisés et de configurer les seuils de vérification. Ce design offre une grande flexibilité, mais exige que les applications choisissent et maintiennent activement leurs configurations de sécurité.
L'événement KelpDAO a mis en lumière un défaut fatal de la configuration à un seul validateur, alors que les protocoles ayant choisi la configuration 1/1 représentaient jusqu'à 47 %, ce qui a poussé de nombreux projets à adopter rapidement CCIP, avec la validation décentralisée comme option par défaut et un contrôle de sécurité plus robuste.
LayerZero a publié une excuse le 9 mai, reconnaissant avoir mal géré la communication au cours des trois dernières semaines et affirmant qu'il aurait dû expliquer directement la situation plus tôt plutôt que de privilégier la finalisation du rapport d'analyse postérieure.
LayerZero souligne que le protocole lui-même n'a pas été affecté ; il s'agit d'une source de données corrompue utilisée par le DVN de LayerZero Labs, tandis que des fournisseurs RPC externes ont subi une attaque DDoS, permettant au DVN de Labs de servir des transactions à haute valeur en configuration 1/1, ce qui constitue une erreur grave. Un rapport d'analyse post-incident officiel sera bientôt publié en collaboration avec des partenaires de sécurité externes.