L'exploit de 292 M$ de Kelp touche la garantie rsETH dans le prêt DeFi
L’exploit de 292 millions de dollars visant Kelp a ravivé l’examen du liquid restaking et des garanties des prêts DeFi, après que l’attaquant aurait utilisé un bridge LayerZero pour envoyer un message manipulé et créer (mint) des rsETH non adossés. Selon les rapports, 116 500 rsETH (environ 18 % de l’offre en circulation) ont été libérés vers un portefeuille préfinancé, sans mouvement équivalent d’ETH de l’autre côté.
L’attaquant a ensuite déposé ces rsETH non adossés sur Aave en tant que garantie afin d’emprunter du WETH réel et de sortir. Bien qu’Aave n’ait pas été qualifié de « piraté », le protocole aurait accumulé environ 196 millions de dollars de créances douteuses parce que les rsETH étaient whitelistés comme garantie corrélée à l’ETH. Les conséquences sur le marché ont été rapides : la TVL d’Aave a chuté d’environ 25 % en une journée (à environ 20 milliards de dollars), la TVL DeFi plus large a baissé d’environ 13 milliards de dollars, et le token AAVE aurait perdu environ 30 %.
Dans les jours qui ont suivi l’exploit de 292 millions de dollars, plusieurs protocoles ont agi pour contenir le risque. Aave a connu d’importants retraits et a gelé les marchés rsETH pendant plusieurs heures. SparkLend et Fluid ont mis en pause leur exposition au rsETH, et Lido a suspendu earnETH en invoquant une exposition liée à la configuration rsETH.
Une mise à jour ultérieure a souligné la difficulté à retracer les expositions en cascade. Un compte a affirmé que plus de 6,2 milliards de dollars étaient sortis d’Aave en 36 heures, estimant que les protocoles peinent à cartographier en temps réel les chemins indirects de « yield stacking » via les bridges, le restaking et les mécanismes de liquidation. La même analyse a également critiqué la conception du bridge, qui repose sur un vérificateur 1-of-1, créant un point de défaillance unique potentiellement critique.
Pour les traders, l’enseignement principal de l’exploit de 292 millions de dollars de Kelp est que le rendement annuel (APY) peut masquer des risques cross-protocol et cross-bridge — ce qui élève les exigences en matière de contrôles de qualité des garanties et d’hypothèses de liquidité/sortie pour les positions liées au LRT.
Bearish
Baissier pour le prix d’AAVE à court terme : l’exploit aurait provoqué des retraits rapides, le gel du marché rsETH et une exposition significative en bad-debt, coïncidant avec une forte baisse du TVL d’Aave (~25%) et un repli d’AAVE (~30%). Les sorties prétendues de >$6,2Mrd d’Aave en 36 heures renforcent la probabilité d’un désendettement (deleveraging) prolongé.
Cela ajoute aussi un risque de sentiment à plus long terme : les collatéraux de restaking liquides susceptibles d’être liquidés peuvent être davantage corrélés aux hypothèses de bridge/restaking/whitelisting que les traders ne le pensent, et le design critiqué du vérificateur 1-sur-1 met en lumière une fragilité systémique potentielle. Même si les contrats n’ont pas été « piratés », le marché va probablement repricer le risque des collatéraux rsETH/LRT et les conditions de liquidité, maintenant une volatilité élevée autour d’Aave et d’autres places intégrant LRT.
Net : les traders doivent s’attendre à un positionnement risk-off persistant et à des conditions de collatéral/liquidité plus strictes, typiquement négatives pour AAVE, jusqu’à ce que les protocoles restaurent confiance et transparence.