Conflit LayerZero vs KelpDAO : le hack de 292 M$ sur rsETH lié à une configuration 1/1 DVN
Le fondateur de LayerZero, Bryan Pellegrino, nie la prétention de KelpDAO selon laquelle LayerZero aurait approuvé la configuration de bridge non sécurisée « single‑verifier (1/1 DVN) » à l’origine de l’exploit rsETH du 18 avril (~292 M$). Pellegrino affirme que KelpDAO a initialement déployé le bridging rsETH en utilisant la configuration multi‑verifier par défaut de LayerZero, puis l’a « rétrogradée manuellement » en 1/1 DVN par la suite. Il renvoie à la documentation de LayerZero avertissant de ne pas utiliser le 1/1 DVN en production. KelpDAO rétorque que le personnel de LayerZero n’a jamais soulevé d’objection lors de multiples échanges et que LayerZero a implicitement autorisé la configuration, en produisant des captures d’écran de commentaires internes. Le différend suit l’incident où 116 500 rsETH auraient été drainés (environ 18 % de l’offre en circulation). Les données indiquent qu’avant le hack, 47 % des contrats OApp actifs sur LayerZero utilisaient une configuration 1/1 DVN. LayerZero a depuis interdit cette configuration et pousse à des migrations à travers les applications. En réponse, KelpDAO annonce migrer le bridging rsETH de LayerZero vers Chainlink CCIP ; un nouveau contrat CCIP rsETH apparaît aux côtés du contrat LayerZero legacy sur GitHub. Pour les traders, l’attention passe de la seule containment à la responsabilité : les opérateurs des bridges rsETH ont‑ils correctement évalué le risque DVN, et les paramètres par défaut, avertissements et mesures d’application de LayerZero étaient‑ils suffisants ? Cela pourrait accroître la prudence à court terme et la volatilité de la liquidité liée à rsETH jusqu’à ce que les migrations et audits soient finalisés — en particulier pour les bridges dépendant des choix de configuration DVN.
Bearish
Le différend porte sur le risque de bridging non sécurisé de rsETH lié à une configuration 1/1 DVN. Bien que LayerZero affirme avoir mis en garde contre le 1/1 DVN puis l'avoir interdit, l'attaquant aurait drainé ~116 500 rsETH et les données pré-hack suggèrent que 47 % des OApps actives sur LayerZero utilisaient 1/1 DVN — ce qui signifie que des erreurs de configuration au niveau protocole et au niveau application peuvent rapidement se propager. La migration de KelpDAO vers Chainlink CCIP pourrait réduire l'exposition future, mais l'incertitude à court terme quant aux contrats qui ont entièrement migré et à la rapidité d'arrivée des liquidités peut peser sur le sentiment concernant rsETH. À court terme, attendez-vous à de la volatilité alors que les opérateurs de pont auditent les dépendances et que les traders reprennent la tarification des primes de risque de pont ; l'impact à long terme dépendra de savoir si les migrations et l'application des règles éliminent l'utilisation restante du 1/1 DVN sans autres incidents.