Arbitrum « s'est fait passer pour le Hacker » et a « récupéré » les fonds volés de KelpDAO
Arbitrum « s'est fait passer pour le Hacker » et a « récupéré » les fonds volés de KelpDAO
Dans la DeFi, les histoires se terminent rarement lorsque la transaction d'exploitation est validée. L'incident de KelpDAO – largement décrit comme l'un des plus grands événements de sécurité DeFi de 2026 – vient de connaître une suite inattendue : Arbitrum a effectué une action d'urgence sur la chaîne, usurpant l'adresse de l'exploiteur et transférant environ 30 765 ETH vers une adresse de coffre-fort gelée, récupérant ainsi efficacement (ou plus précisément, gelant et saisissant) les fonds qui se trouvaient encore sur Arbitrum One.
Cet article détaille ce qui s'est passé, comment cela a fonctionné et ce que cela signifie pour quiconque utilise les couches 2, les ponts inter-chaînes et les tokens de restaking / restaking liquide dans le paysage sécuritaire crypto en évolution rapide de 2025-2026.
Ce qui s'est passé : d'une exploitation de pont de 292 millions de dollars à des ETH éparpillés sur les chaînes
L'exploitation de KelpDAO (18 avril 2026)
Selon plusieurs analyses d'incidents, l'attaque a débuté vers le 18/04/2026 à 17:35 UTC et s'est concentrée sur le système inter-chaînes rsETH de KelpDAO (construit sur la messagerie et la vérification de type LayerZero). En termes simplifiés, l'attaquant a réussi à falsifier / valider un message inter-chaînes dans une configuration qui créait un point de défaillance unique (par exemple, une vérification « 1 sur 1 »), permettant la libération d'actifs comme s'il s'agissait d'un retrait légitime de pont.
Si vous souhaitez une explication technique mais lisible, voici de bons points de départ :
- Rapport d'incident de gouvernance Aave (signal fort et calendrier concret) : Rapport d'incident rsETH (20 avril 2026)
- Analyse de Blockaid (angle de modèle de menace) : Comment un seul compromis DVN de LayerZero a drainé 292 millions de dollars de KelpDAO
- Plongée profonde de Hypernative (sémantique des messages inter-chaînes) : L'exploit de la couche d'observation de KelpDAO
- Récapitulatif de l'industrie avec contexte (Anglais) : Rapport TechFlow sur l'exploit de KelpDAO
Les fonds « restants » sur Arbitrum : ~ 30 765 ETH
Après les principales exploitations, les fonds se fragmentent généralement : les ponts, les échanges et les routes de transfert dispersent les actifs sur plusieurs réseaux. Dans ce cas, une grosse part d'ETH est restée sur Arbitrum One – environ 30 765,6675 ETH – valant à peu près plus de 70 millions de dollars au moment de la rédaction.
Le rebondissement : Arbitrum a usurpé l'identité de l'exploiteur pour transférer les fonds vers un coffre-fort de gel (21 avril 2026)
Le 21 avril 2026 (23h26 ET), le Conseil de Sécurité d'Arbitrum a exécuté une action d'urgence qui :
- A mis à jour temporairement un contrat système d'Arbitrum (le contrat Inbox sur Ethereum),
- A ajouté une fonction permettant un message L1 → L2 pouvant usurper l'expéditeur de la transaction,
- A envoyé une transaction inter-chaînes qui semblait provenir de l'adresse de l'exploiteur,
- A transféré l'ETH vers 0x0000000000000000000000000000000000000DA0 (une adresse désignée comme gelée),
- Puis a réinstallé le contrat avec son implémentation d'origine – un modèle opérationnel « atomique » conçu pour minimiser la fenêtre de mise à jour.
Source principale :
Récapitulatif des actualités (Chinois) :
Vous pouvez également examiner les artefacts on-chain spécifiques du post du forum :
- Hash de transaction Etherscan (action L1)
- Hash de transaction Arbiscan (transfert L2 vers l'adresse de gel)
C'est pourquoi les gens ont résumé cela comme suit : « Arbitrum s'est fait passer pour le hacker et a récupéré l'argent. » Techniquement, il s'agissait d'une procédure d'urgence autorisée par la gouvernance qui s'appuyait sur les capacités de mise à jour / d'administration d'Arbitrum.
Pourquoi c'est important : ce n'est pas juste une histoire de sauvetage – c'est une remise en question de la décentralisation
1) « Le code, c'est la loi » rencontre « Le Conseil de Sécurité, c'est la loi »
L'industrie de la crypto a passé des années à passer des « clés d'administration partout » vers une décentralisation progressive. Mais les conseils de sécurité des couches 2 et les pouvoirs d'urgence existent toujours pour une raison : une réponse rapide.
L'action d'Arbitrum montre une dure vérité :
- Si un réseau peut mettre à jour des contrats centraux, il peut aussi changer qui contrôle effectivement les fonds dans des conditions extraordinaires.
Ce n'est ni purement bon ni purement mauvais – mais c'est un facteur de risque que les utilisateurs doivent intégrer lorsqu'ils choisissent des chaînes et des protocoles.
Si vous souhaitez évaluer systématiquement ces compromis, il est utile de consulter des tableaux de bord d'infrastructure neutres tels que :
2) Le risque des ponts inter-chaînes reste une menace majeure en 2025-2026
Même si les audits et la vérification formelle se sont améliorés, la configuration des ponts et les hypothèses de vérification sont toujours des points de défaillance fréquents. Le cas KelpDAO renforce un schéma récurrent :
- La vulnérabilité n'est souvent pas une simple « ligne de Solidity buggée », mais une décision de conception / configuration du système qui crée un point de défaillance unique silencieux.
Suivre les tendances d'exploitation via des données publiques peut aider les utilisateurs à comprendre la fréquence de ces événements :
3) Le problème du précédent : quand est-il acceptable de « saisir » des fonds ?
La décision d'Arbitrum déclenchera probablement des débats sur Crypto Twitter, les forums de gouvernance et les cercles de recherche :
- S'il est acceptable de geler des fonds volés, est-il acceptable de geler des fonds sanctionnés ?
- Qu'en est-il de la propriété contestée, de l'insolvabilité du protocole ou des ordonnances du tribunal ?
- Qui décide de ce qui constitue une « urgence », et quelles sont les garanties ?
Le point clé pour les utilisateurs : ces pouvoirs existent – et votre modèle de risque devrait les refléter.
Enseignements pratiques pour les utilisateurs de DeFi : ce que vous devriez faire différemment après KelpDAO
1) Traitez les ponts et les « actifs omnichain » comme présentant un risque plus élevé que les actifs monocade
Si votre stratégie dépend du passage par des ponts (ou de la détention de représentations de ponts), considérez :
- Limiter la taille de votre position sur les actifs pontés
- Privilégier les routes avec des hypothèses de vérification plus solides et multipartites
- Éviter les combinaisons « nouvelle chaîne + nouveau pont + nouveau LRT » à moins que vous ne puissiez tolérer un risque extrême
2) Supposons que chaque approbation puisse devenir un événement de perte
De nombreux incidents à neuf chiffres monétisent finalement via des autorisations, des signatures et des surfaces de permission que les utilisateurs ne vérifient pas à nouveau.
L'hygiène de base qui fonctionne toujours :
- Utilisez des portefeuilles séparés pour les actifs à long terme et la DeFi active
- Révoquez les approbations périodiquement (surtout après avoir interagi avec de nouveaux protocoles)
- Vérifiez soigneusement les domaines (le phishing augmente souvent juste après des incidents majeurs)
3) Les portefeuilles matériels aident – mais seulement si vous les utilisez intentionnellement
Un portefeuille matériel ne peut pas magiquement rendre la DeFi sûre, mais il peut réduire matériellement certaines classes de risques en maintenant les clés hors ligne et en forçant une confirmation explicite pour les actions sensibles.
Si vous utilisez OneKey, l'habitude la plus pertinente est : ralentissez à l'étape de signature. Traitez chaque signature / approbation comme une décision financière réelle, en particulier sur les environnements L2 à haute vitesse où les attaquants comptent sur l'urgence des utilisateurs.
Ce qui se passe ensuite : la gouvernance décidera si les fonds gelés peuvent être libérés
Le post du forum d'Arbitrum est explicite : l'ETH est gelé, et une action ultérieure de la gouvernance d'Arbitrum est requise pour le libérer (probablement en coordination avec les parties affectées et les enquêtes en cours). Voir la formulation officielle et l'évolution de la discussion ici :
En d'autres termes, le chapitre « récupération » n'est pas une inversion propre – c'est le début d'un processus de coordination gouvernementale, juridique et sociale.
Réflexion finale
L'exploit de KelpDAO et la réponse d'urgence d'Arbitrum mettent en évidence un thème déterminant de la crypto en 2025-2026 : la sécurité ne concerne plus seulement les smart contracts – il s'agit de la configuration, des hypothèses inter-chaînes et du pouvoir de gouvernance.
Si vous participez à la DeFi aujourd'hui, votre avantage n'est pas seulement le rendement – c'est de comprendre où se situe réellement le contrôle lorsque quelque chose ne va pas.
