Deux exploits de bridges ont drainé 606 millions de dollars et déclenché 13 milliards de retraits. Voici comment la contagion cross-chain a failli briser la DeFi, et ce que l'industrie fait pour y remédier.
Marcus Webb
Responsable Recherche DeFi
Avril 2026 est devenu le pire mois de la DeFi en matière d'exploits depuis février 2025. Douze piratages ont drainé 606 millions de dollars en 18 jours, déclenchant une cascade de retraits de 13 milliards de dollars qui a révélé à quel point l'infrastructure DeFi moderne est profondément interconnectée.
Les chiffres sont frappants. En seulement 18 jours, 12 exploits distincts ont drainé 606 millions de dollars des protocoles DeFi. Deux incidents représentent 95% des dommages : le piratage de Drift Protocol sur Solana (285 millions de dollars, 1er avril) et l'exploit du bridge Kelp DAO sur Ethereum (292 millions de dollars, 18 avril). Ensemble, ils représentent 75% de toutes les cryptomonnaies volées en 2026.
Mais les pertes directes ne racontent qu'une partie de l'histoire. La véritable crise a été la contagion : 8,45 milliards de dollars ont fui Aave en 48 heures, la TVL DeFi a chuté de 25% par rapport à son sommet de janvier à 110 milliards de dollars pour atteindre environ 82 milliards de dollars, et l'expression "DeFi is dead" a été tendance sur les réseaux sociaux crypto pendant trois jours consécutifs.
Cet article détaille ce qui s'est passé, pourquoi cela s'est produit et ce qui va suivre.
Le 1er avril, des attaquants ont drainé 285 millions de dollars de Drift Protocol, le plus grand DEX de contrats à terme perpétuels sur Solana avec 550 millions de dollars de TVL. L'attaque a pris 12 minutes à exécuter, mais trois semaines à préparer.
La méthode n'était pas un bug de smart contract. Les attaquants se sont fait passer pour une société de trading quantitatif, établissant une relation de confiance avec les membres du Security Council de Drift pendant des semaines. Ils ont exploité la fonctionnalité "durable nonces" de Solana, qui permet de pré-signer des transactions pour une exécution ultérieure, en trompant des signataires légitimes pour qu'ils autorisent des transactions dormantes qui seraient ensuite utilisées contre le protocole.
Une fois aux commandes, les attaquants ont ajouté un token fabriqué sans valeur à la liste blanche en tant que collatéral, déposé 500 millions d'unités de celui-ci et retiré 285 millions de dollars en USDC, SOL et ETH. La contagion s'est propagée à plus de 20 protocoles Solana. Carrot Protocol a suspendu ses fonctions de mint et de remboursement après avoir perdu 50% de sa TVL. Pyra Protocol a désactivé les retraits entièrement.
La société d'analyse blockchain Elliptic a relié l'attaque à des acteurs affiliés à la DPRK, en cohérence avec le schéma d'exploitation étatique qui s'est accéléré tout au long de 2025 et 2026.
Dix-sept jours plus tard, le 18 avril, le bridge de Kelp DAO a été exploité pour 292 millions de dollars dans un type d'attaque fondamentalement différent qui a exposé une faiblesse systémique dans l'architecture des bridges cross-chain.
À 17h35 UTC, un attaquant a créé 116 500 rsETH sur le mainnet Ethereum, soit environ 18% de l'offre en circulation de Kelp DAO, d'une valeur d'environ 292 millions de dollars. Les tokens n'avaient aucun adossement. Le message LayerZero falsifié est passé parce que le bridge reposait sur un seul Decentralized Verifier Network (DVN) pour valider les transferts cross-chain.
L'attaquant a compromis l'infrastructure de ce vérificateur unique, empoisonnant les serveurs qu'il utilisait pour vérifier les transactions. Sans seconde couche de vérification, le bridge a accepté le message fabriqué comme légitime et a libéré des rsETH non adossés sur Ethereum.
LayerZero a confirmé que l'exploit provenait d'une configuration DVN 1-of-1. Leur analyse post-incident a révélé que 40% des protocoles utilisant l'infrastructure de LayerZero fonctionnent avec la même configuration à vérificateur unique.
Le jeu de blâme qui a suivi a exposé une vérité inconfortable sur l'infrastructure DeFi. LayerZero a pointé les choix de configuration de Kelp. Kelp a répondu que le guide de démarrage rapide et les templates GitHub par défaut de LayerZero orientaient les développeurs vers des configurations 1-of-1. Les deux ont partiellement raison : les paramètres par défaut n'étaient pas sûrs, et Kelp ne les a pas remplacés.
LayerZero a ensuite annoncé qu'il ne signera plus les messages pour les applications fonctionnant avec des configurations à vérificateur unique, forçant une migration à l'échelle du protocole vers des configurations multi-DVN (2/3, 3/5 ou similaires).
L'exploit de Kelp DAO ne s'est pas arrêté à 292 millions de dollars. Parce que rsETH était largement utilisé comme collatéral dans la DeFi, les tokens non adossés ont déclenché une défaillance en cascade à travers plusieurs protocoles.
Aave a subi l'impact secondaire le plus lourd. Le protocole de prêt a gelé ses marchés rsETH, mais les déposants avaient déjà commencé à retirer avant cette mesure. En 48 heures, 8,45 milliards de dollars de dépôts ont quitté Aave, faisant chuter sa TVL de 26,4 milliards à 17,9 milliards de dollars. Aave fait lui-même face à des pertes estimées pouvant atteindre 230 millions de dollars en créances douteuses potentielles si rsETH reste non adossé.
| Protocole | Impact | Réponse |
|---|---|---|
| Aave | 8,45 milliards de retraits, 230 millions de créances douteuses potentielles | Gel des marchés rsETH, proposition de gouvernance en cours |
| Pendle | Marchés rsETH PT/YT affectés | Suspension des paires de trading rsETH |
| Compound | Exposition via le collatéral rsETH | Gel des marchés concernés |
| Euler | Exposition indirecte via rsETH | Suspension des dépôts |
| Ether.fi | Exposition au bridge LayerZero | Suspension des bridges weETH/eETH |
Le mécanisme est un cas d'école de contagion. rsETH était utilisé comme collatéral dans des dizaines de protocoles. Lorsqu'il est devenu non adossé, chaque protocole l'acceptant comme collatéral a fait face à des créances douteuses potentielles. La réponse rationnelle pour les déposants était de retirer, même des protocoles sans exposition directe, car les interconnexions étaient difficiles à évaluer en temps réel.
Le résultat : la TVL DeFi totale est tombée à environ 82,4 milliards de dollars, son niveau le plus bas en un an et une baisse de 25% par rapport aux 110 milliards de dollars du début 2026. L'indice Fear and Greed est tombé à 27.
Les exploits d'avril s'inscrivent dans un schéma bien établi. Les bridges cross-chain ont constamment été la surface d'attaque la plus dangereuse de la DeFi :
Exploit du bridge Wormhole pour 320 millions de dollars
Drainage du bridge Ronin de 625 millions de dollars (Lazarus Group)
Perte de 81 millions de dollars pour le bridge Orbit Chain
Piratage de l'exchange Bybit, 1,5 milliard de dollars (Lazarus Group)
Drift Protocol, 285 millions de dollars (lié à la DPRK)
Bridge Kelp DAO, 292 millions de dollars (Lazarus Group)
L'attaque de Kelp DAO partage une cause profonde avec presque tous les exploits majeurs de bridges : un point de défaillance unique dans le processus de vérification. Qu'il s'agisse d'un multisig compromis (Ronin), d'un contrôle de validation manquant (Wormhole) ou d'un seul DVN (Kelp), le schéma est le même. La sécurité des bridges dépend de la redondance de la vérification, et les protocoles livrent régulièrement avec une redondance insuffisante.
Les hackers étatiques nord-coréens ont désormais volé un montant estimé à 577 millions de dollars en cryptomonnaies rien qu'en avril 2026, à travers les attaques de Drift et Kelp DAO. La sophistication de ces attaques augmente : l'approche d'ingénierie sociale de Drift et la compromission d'infrastructure de Kelp ont toutes deux nécessité des semaines de préparation et une connaissance technique approfondie.
La réponse de l'industrie a été plus rapide que lors des cycles précédents. Plusieurs changements concrets sont déjà en cours.
La politique multi-DVN obligatoire de LayerZero élimine le mode de défaillance le plus évident. En refusant de signer les messages pour les configurations à vérificateur 1-of-1, LayerZero oblige les 40% d'intégrateurs fonctionnant actuellement avec des configurations non sécurisées à se mettre à niveau. C'est le changement le plus impactant, bien qu'il ne prévienne pas tous les vecteurs d'attaque.
Les propositions de gouvernance d'Aave abordent le risque structurel des liquid restaking tokens (LRT) utilisés comme collatéral. L'incident a révélé que les protocoles de prêt DeFi avaient des paramètres de risque insuffisants pour les actifs LRT dont la valeur dépend de l'intégrité d'un bridge externe.
La surveillance en temps réel s'améliore. Des sociétés de sécurité on-chain comme Blockaid et Chainalysis ont publié des analyses techniques post-mortem en quelques heures, et plusieurs protocoles ont mis en place des disjoncteurs automatisés qui se sont déclenchés avant qu'une intervention manuelle ne soit nécessaire.
La pression réglementaire s'accentue. Les pertes d'avril ajoutent de l'urgence aux appels pour des audits de sécurité DeFi obligatoires. Le cadre SEC-CFTC établi en mars 2026 fournit déjà une base juridictionnelle, et l'incident de Kelp DAO donne aux régulateurs un exemple concret de pourquoi les normes de sécurité sont importantes.
Les données historiques offrent une base d'optimisme. Après le piratage de Wormhole en 2022, la TVL DeFi a chuté d'environ 15% avant de récupérer 80% de la perte en un mois. La lecture actuelle du Fear and Greed à 27 suggère un sentiment plus fragile, ce qui pourrait prolonger la reprise au-delà de la fenêtre habituelle de quatre à six semaines.
Plusieurs facteurs soutiennent une reprise à terme. Les contrats de restaking sous-jacents dans l'incident de Kelp DAO n'ont pas échoué. Les délégations EigenLayer restent intactes. Le rsETH sur le mainnet est toujours adossé à des dépôts légitimes. Le problème était le bridge, pas le protocole de restaking lui-même.
Les 13 milliards de dollars de retraits DeFi ont été motivés par la peur, et non par une insolvabilité réelle des protocoles. La plupart des protocoles ayant connu des sorties de fonds n'avaient aucune exposition directe à rsETH. À mesure que le marché assimile cette distinction, les capitaux devraient revenir vers les protocoles présentant des postures de sécurité plus solides.
La métrique clé à surveiller est la résolution de la gouvernance d'Aave. Si le protocole gère avec succès les créances douteuses potentielles sans événement de liquidation désordonné, la confiance devrait se rétablir. Si des mesures d'urgence sont nécessaires ou si d'autres pertes surviennent, la contagion pourrait s'approfondir.
Pour les investisseurs naviguant dans les suites de cette crise, trois signaux comptent le plus :
Les audits de configuration des bridges. Suivez quels protocoles ont migré vers des configurations multi-DVN. Ces données sont publiquement vérifiables on-chain. Les protocoles qui agissent rapidement témoignent d'une solide culture de sécurité.
Les résultats de la gouvernance d'Aave. La gestion par la communauté des créances douteuses liées à rsETH crée un précédent pour la façon dont les protocoles DeFi générant des revenus réels gèrent les événements de type cygne noir.
La stabilisation de la TVL. Lorsque les sorties nettes des principaux protocoles de prêt cesseront, la phase de panique sera terminée. Les données hebdomadaires de TVL DeFi de DefiLlama constituent le signal le plus fiable.
Les 606 millions de dollars de pertes directes sont douloureux. Les 13 milliards de dollars de retraits motivés par la peur le sont encore plus. Mais les changements structurels, les bridges à vérificateurs multiples obligatoires, de meilleurs paramètres de risque pour le collatéral et une surveillance en temps réel, représentent un progrès véritable. L'infrastructure DeFi est soumise à des tests de résistance, et les protocoles qui survivront en sortiront renforcés.
Avertissement : Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier. Les investissements en cryptomonnaies comportent des risques importants. Effectuez toujours vos propres recherches et consultez un conseiller financier qualifié avant de prendre des décisions d'investissement.
Analyses de marché et insights actionnables. Pas de spam, jamais.
