Un vol de cryptomonnaies de 293 millions de dollars a ébranlé l’écosystème de la finance décentralisée (DeFi), KelpDAO étant au cœur d’une attaque désormais soupçonnée d’être liée au Lazarus Group nord-coréen.
L’attaque montre à quelle vitesse des attaquants sophistiqués peuvent exploiter les faiblesses des infrastructures inter-chaînes.
« Les premiers indicateurs suggèrent une attribution à un acteur étatique hautement sophistiqué, probablement le Lazarus Group de la RPDC, plus précisément TraderTraitor », a déclaré LayerZero dans sa publication sur X.
Le casse de KelpDAO, d’un montant de 293 millions de dollars
KelpDAO, un protocole de restaking liquide bâti sur Ethereum, permet aux utilisateurs de déposer de l’ETH et de recevoir des rsETH — un jeton dérivé qui continue de générer du rendement tout en restant utilisable dans les applications décentralisées.
Grâce à des couches d’interopérabilité comme LayerZero, les rsETH peuvent circuler entre les chaînes, ce qui accroît la flexibilité, mais aussi les risques.
Ce risque s’est concrétisé de manière spectaculaire lors de cet incident : environ 116 500 rsETH — évalués à quelque 293 millions de dollars — ont été dérobés, puis transférés via Tornado Cash afin de masquer les traces des transactions.
Effets en cascade dans l’écosystème de la DeFi
L’impact s’est rapidement étendu au-delà de KelpDAO.
Comme les rsETH sont largement intégrés à l’écosystème de la DeFi, de grands protocoles de prêt, notamment Aave, Compound et Euler, ont été touchés.
En réaction, Aave a entrepris de geler les activités impliquant des rsETH comme garantie, afin de limiter son exposition et d’éviter des pertes en cascade.
Cette affaire met en évidence un défi majeur de la DeFi : sa forte composabilité signifie qu’un seul point de défaillance peut se propager en temps réel à plusieurs plateformes.
Au cœur de la défaillance de la vérification inter-chaînes
Au cœur de la compromission se trouvait le processus de vérification inter-chaînes de KelpDAO, et plus précisément le Decentralized Verifier Network (DVN), chargé de valider les messages inter-chaînes.
Plutôt que d’exploiter une faille dans le code des contrats intelligents, les attaquants ont ciblé l’infrastructure qui soutient ces opérations.
En compromettant certains nœuds Remote Procedure Call (RPC), ils ont pu injecter des données falsifiées de la blockchain dans la couche de vérification.
Pour amplifier l’attaque, les acteurs malveillants ont simultanément lancé des attaques par déni de service distribué (DDoS) contre les nœuds RPC légitimes.
Cela a dégradé la disponibilité des sources de données fiables et contraint le système à s’appuyer sur les nœuds compromis.
En substance, les attaquants ont empoisonné le processus de validation, permettant à des messages inter-chaînes frauduleux d’être acceptés comme légitimes. Ils ont ainsi pu autoriser des transferts de rsETH qui n’avaient en réalité jamais eu lieu sur la chaîne.
Comment l’attaque a contourné les mécanismes de confiance
La réussite de l’exploitation souligne une faiblesse critique des architectures inter-chaînes : leur dépendance à des données externes et à des hypothèses de confiance.
Les validateurs et les oracles jouent un rôle central dans la confirmation des activités inter-chaînes, mais si ces données sont manipulées ou perturbées, l’ensemble du système peut être trompé.
Dans le cas présent, les attaquants ont pris suffisamment de contrôle sur le circuit des données pour contourner les protections et exécuter des transactions non autorisées.
Réduire les risques inter-chaînes
À mesure que les écosystèmes inter-chaînes se développent, ils introduisent une complexité et des risques de sécurité supplémentaires.
Les stratégies suivantes présentent des mesures que les équipes de sécurité peuvent prendre pour contribuer à maîtriser les risques liés aux opérations inter-chaînes.
- Renforcez la sécurité des nœuds et de l’infrastructure en sécurisant les points de terminaison RPC, en appliquant des contrôles d’accès stricts et en utilisant des nœuds authentifiés répartis géographiquement.
- Mettez en place des mécanismes de validation résilients en vous appuyant sur un consensus multipartite, des sources de données diversifiées et des méthodes de vérification cryptographique telles que les clients légers ou les preuves à divulgation nulle de connaissance.
- En continu, surveillez les activités inter-chaînes anormales grâce à des alertes en temps réel, à l’intégration de renseignements sur les menaces et à des réseaux indépendants de surveillance.
- Protégez la disponibilité et l’intégrité en déployant de solides DDoS défenses et en assurant la redondance des couches critiques de validation et de communication.
- Limitez l’exposition financière grâce à des garde-fous tels que des restrictions sur les garanties, des plafonds de retrait, une limitation du débit et des pools de liquidité cloisonnés.
- Mettez en place des contrôles de sécurité tels que la finalité différée des transactions, des coupe-circuits et des mécanismes de mise en pause automatisés afin de contenir les éventuelles exploitations.
- Testez les plans d’intervention en cas d’incident, notamment la coordination entre plateformes et les simulations d’attaque autour de scénarios de vol de cryptomonnaies.
Collectivement, ces mesures aident les organisations à bâtir des systèmes plus résilients tout en contenant les incidents potentiels afin d’en minimiser le rayon d’impact.
Une surface d’attaque en expansion pour la DeFi
Cet incident illustre un changement dans les cibles des attaquants, qui se tournent vers des infrastructures financières émergentes comme la DeFi plutôt que vers les institutions traditionnelles.
Les environnements DeFi associent une forte liquidité à des architectures qui évoluent rapidement, ce qui peut créer des failles de sécurité si elles ne sont pas gérées avec soin.
L’interopérabilité inter-chaînes ajoute une couche supplémentaire de complexité, en multipliant les dépendances et les hypothèses de confiance qui élargissent la surface d’attaque globale.
Ces risques en évolution soulignent la nécessité de solutions zero trust qui partent du principe qu’une compromission est possible et imposent une vérification stricte dans les environnements complexes.