Un rapport d’incident publié par Llamarisk sur le forum Aave explique qu’une exploitation de pont visant la route KelpDAO Layerzero V2 de rsETH, samedi, a permis à un attaquant d’extraire 116 500 rsETH depuis l’adaptateur OFT d’Ethereum sans brûler aucun token sur la chaîne source. Le rapport de Llamarisk indique que cet incident a exposé les marchés Aave V3 à des créances irrécouvrables potentielles allant de 123,7 millions de dollars à 230,1 millions de dollars, selon la manière dont les pertes sont réparties.
Points clés :
- D’après Llamarisk, un attaquant a exploité le pont Layerzero V2 de Kelp le 18 avril 2026, en frappant 116 500 rsETH sans aucun burn correspondant.
- Llamarisk estime des créances irrécouvrables entre 123,7 millions de dollars et 230,1 millions de dollars sur 7 marchés touchés, selon la manière dont Kelp mutualise les pertes.
- Le trésor de l’Aave DAO détient $181M au 20 avril 2026, et les prestataires de services sécurisent déjà des engagements de recouvrement indicatifs auprès des participants de l’écosystème.
Détails de Llamarisk : scénarios d’exploit rsETH après drainage de l’adaptateur Kelp OFT
L’analyse publiée par la société de gestion des risques Llamarisk et par le fournisseur de services Aave a expliqué que l’attaque s’est produite à 17:35 UTC dans le bloc 24 908 285 d’Ethereum. La route Unichain-vers-Ethereum était configurée comme un chemin DVN 1-of-1, ce qui signifie qu’un seul vérificateur pouvait attester un paquet entrant sans aucune action de sortie correspondante, d’après le rapport.
Les auteurs de Llamarisk ont indiqué que l’attaquant a falsifié un paquet qui a été vérifié, validé et livré sur Ethereum, libérant 116 500 rsETH depuis l’adaptateur, note le rapport Aave. Le solde de l’adaptateur est passé de 116 723 rsETH à 223 rsETH en un seul bloc. L’attaquant a réparti les rsETH volés issus d’une adresse de wallet de réception sur sept adresses de branche. Sur les 116 500 rsETH reçus, 89 567 ont été déposés dans des marchés Aave V3 sur Ethereum et Arbitrum comme collatéral.
Ces positions ont servi à emprunter environ 82 650 WETH et 821 wstETH, avec des facteurs de santé se stabilisant entre 1,01 et 1,03. Les sept adresses d’attaquant restent actives sur Aave au moment de la publication.
Les prestataires de services d’Aave, co-auteurs du rapport complet d’incident de Llamarisk, ont confirmé que les propres smart contracts d’Aave n’avaient pas été compromis. Toute la logique du protocole, y compris la fourniture, le remboursement et la mécanique de liquidation, a continué de fonctionner comme prévu pendant l’événement.
Le Protocol Guardian a commencé à geler l’ensemble des réserves rsETH et wrsETH sur tous les déploiements Aave V3 à environ 19:00 UTC le 18 avril. Cette action a fixé le LTV à zéro et a désactivé la nouvelle fourniture et l’emprunt, tout en laissant les positions existantes éligibles au remboursement et à la liquidation. Onze marchés sur Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma et Zksync ont été touchés, selon l’analyse du forum Aave.
Le rapport indique que le Risk Steward a ajusté les modèles de taux d’intérêt WETH sur Arbitrum, Base, Mantle et Linea à environ 14:30 UTC le 19 avril, en réduisant Slope 2 à 1,50 pour cent et en abaissant le taux d’emprunt à 100 pour cent d’utilisation, de 8,5–10,5 pour cent à 3,0 pour cent de TAEG. Un ajustement correspondant a été appliqué à Core à environ 05:00 UTC le 20 avril, avec Slope 1 fixé à 2 pour cent, Slope 2 à 3 pour cent, et l’utilisation optimale à 94 pour cent.
Le Protocol Guardian a également gelé WETH sur Core, Prime, Arbitrum, Base, Mantle et Linea à environ 02:00 UTC le 20 avril afin d’empêcher tout nouvel emprunt et de contenir un stress potentiel susceptible de se propager aux réserves de stablecoins.
Les 2 scénarios
Les deux scénarios modélisés par l’analyse de Llamarisk reflètent la manière dont la décision d’allocation des pertes de Kelp déterminera l’exposition finale du protocole. Le scénario 1 suppose une socialisation uniforme du rsETH non adossé de 112 204 sur l’ensemble de l’offre en rsETH, produisant un dépeg de 15,12 pour cent et une estimation de 123,7 millions de dollars de créances irrécouvrables, avec Ethereum Core absorbant 91,8 millions de dollars en termes absolus et Mantle faisant face à un manque de réserve WETH de 9,54 pour cent.
Le scénario 2 traite la perte comme isolée au rsETH de L2 uniquement, en appliquant une décote de 73,54 pour cent au collatéral sur les chaînes distantes tout en laissant le rsETH du mainnet Ethereum entièrement intact, ce qui produit une estimation de 230,1 millions de dollars de créances irrécouvrables concentrées sur Mantle à un manque de réserve WETH de 71,45 pour cent et sur Arbitrum à 26,67 pour cent.
Le solde actuel de l’adaptateur s’élève à 40 373 rsETH, le seul adossement confirmé pour l’ensemble des rsETH de toutes les chaînes distantes sur chaque chemin L2, contre des créances distantes totales de 152 577 rsETH. Kelp n’a pas confirmé publiquement comment les fonds récupérés seront alloués.
Au 20 avril 2026, le rapport indiquait que le trésor de l’Aave DAO détient 181 millions de dollars d’actifs, dont 62 millions de dollars d’actifs corrélés à Ethereum, 54 millions de dollars en AAVE et 52 millions de dollars en stablecoins. Le DAO a généré 145 millions de dollars de revenus en 2025 et 38 millions de dollars sur l’année à date en 2026. Llamarisk a confirmé que plusieurs engagements indicatifs de participants de l’écosystème sont déjà en place pour faire face aux scénarios de créances irrécouvrables potentiels.
Les réserves WETH sur Ethereum, Arbitrum, Base, Linea et Mantle sont à 100 pour cent d’utilisation, avec des soldes inactifs en dessous de 20 dollars sur chaque chaîne. En cas d’utilisation totale, les liquidateurs reçoivent aWETH plutôt que du WETH sous-jacent, ce qui ralentit le volume de liquidation.
Le rapport de Llamarisk a signalé que Base et Arbitrum sont les marchés les moins bien couverts, avec des premières liquidations déclenchées par des baisses du prix du WETH de 0,77 pour cent et 1,77 pour cent, respectivement, en raison de positions fonctionnant avec des facteurs de santé d’environ 1,03.
Llamarisk a recommandé une pause immédiate du module de staking de l’WETH Umbrella sous le scénario 1. Au moment de la publication du rapport, 18 922 des 23 507 aWETH stakés avaient déjà été placés en période de refroidissement de désengagement.
Une pause bloquerait les dépôts, retraits, transferts et le slashing tout en conservant la distribution des récompenses active. Les quatre marchés listés en rsETH restants, Ethereum Lido, MegaETH, Plasma et Zksync, affichent des soldes négligeables et aucune créance irrécouvrable. Douze marchés supplémentaires Aave V3 ne listent pas rsETH et ne sont pas affectés.
