🚨 Kelp DAO subit un piratage de 292 M$, Aave touchée #5PC Ce matin (19/4), vers 0:35 heure du Vietnam, le pont rsETH de Kelp DAO (le deuxième plus grand protocole de liquid restaking après https://t.co/4ePd4lro3h, construit sur LayerZero) a été exploité par un pirate, entraînant une perte de 116 500 rsETH (292 M$). Le pirate a retiré 1 ETH depuis Tornado Cash pour couvrir les frais de gaz et a pris le contrôle du pont (selon une analyse initiale, en raison d’une compromission de la clé privée). Il a ensuite utilisé cette clé pour falsifier des ordres de transfert via LayerZero et a transféré intégralement les 116 500 rsETH vers son propre portefeuille. La raison pour laquelle ce piratage a été si facile est que ce pont ne comptait qu’un seul validateur (DVN 1/1), sans vérification croisée. Le pirate a ensuite tenté de retirer 40 000 rsETH supplémentaires (~100 M$), mais a échoué car Kelp avait rapidement mis en pause l’ensemble des contrats. Étant donné que le rsETH présente une faible liquidité et ne peut pas être vendu directement, le pirate a choisi de le mobiliser comme garantie sur divers protocoles de prêt afin d’emprunter du wETH. À 2:30 ce matin (heure du Vietnam), la dette totale créée par le pirate dépassait 236 M$ : - Aave V3 : 196 M$ - Compound V3 : 39,4 M$ - Euler : 840 K$ Aave a gelé le marché rsETH sur les versions V3 et V4, affirmant que ses contrats n’ont pas été piratés, et s’est engagée à couvrir les créances impayées si nécessaire. Selon une estimation de Spark (concurrent direct d’Aave), si le prix du rsETH chute de 19 % (soit la part volée représentant 19 % de l’offre totale de rsETH), Aave pourrait voir apparaître plus de 100 M$ de créances douteuses dues à des emprunts en boucle avec un fort effet de levier. Les tokens $KERNEL et $AAVE ont tous deux chuté de plus de 10 % après ce piratage.