Pourquoi les bridges cross-chain sont le maillon faible de la DeFi après le piratage de Kelp DAO à 293 millions de dollars

Les bridges crypto sont de retour sous les projecteurs — et pas pour les bonnes raisons.

L'exploit de 293 millions de dollars de Kelp DAO samedi a placé la sécurité des bridges au premier plan de l'attention de l'industrie crypto, déclare Ari Redbord, responsable mondial de la politique et des affaires gouvernementales chez TRM Labs.

"Lorsque le modèle de sécurité d'un émetteur de 300 millions de dollars se réduit à la clé de signature d'un seul validateur, la surface d'attaque cesse d'être technique et devient structurelle", a-t-il écrit dimanche.

L'analyse fait suite à un attaquant qui a drainé 116 500 rsETH — environ 18 % de l'offre en circulation du token — en déclenchant une fonction sur le système de messagerie cross-chain de LayerZero. En termes simples, l'attaquant a envoyé un faux message indiquant au bridge de Kelp que de l'argent était arrivé d'une autre blockchain. Le bridge a cru le signal et a libéré les tokens.

Kelp DAO est un protocole de restaking liquide construit sur la blockchain Ethereum qui permet aux utilisateurs de gagner à la fois des récompenses de staking standard et un rendement de restaking supplémentaire via EigenLayer.

Lorsque les utilisateurs déposent des tokens éligibles, ils reçoivent du rsETH, un actif négociable qui peut être utilisé sur les plateformes DeFi tandis que les fonds sous-jacents continuent de sécuriser plusieurs réseaux. En effet, la structure permet aux investisseurs de maintenir leur capital productif sans le bloquer, préservant la liquidité tout en générant des rendements superposés.

L'attaque s'ajoute à la perte de 286 millions de dollars subie par Drift le 1er avril, portant les pertes DeFi de ce mois à plus de 550 millions de dollars.

Comment fonctionnent les bridges ?

Un bridge cross-chain est un logiciel qui connecte différentes blockchains, telles qu'Ethereum et Arbitrum.

Lorsque les utilisateurs déplacent des tokens entre les chaînes, le bridge verrouille les tokens d'origine et crée des tokens correspondants sur la nouvelle chaîne. Ce processus dépend des validateurs — des ordinateurs de confiance qui confirment si une transaction blockchain est authentique.

Le bridge a été trompé en croyant qu'un faux message provenant d'une autre blockchain était réel, il a donc libéré des tokens qu'il n'aurait jamais dû libérer. Parce qu'un seul validateur était configuré pour approuver ces messages, un point de défaillance unique a permis à l'attaquant de débloquer des centaines de millions de dollars.

La configuration de Kelp reposait apparemment sur un Decentralised Verifier Network 1/1, ou DVN. Cela signifie qu'un seul validateur avait l'autorité d'approuver les messages cross-chain. Une fois ce validateur compromis ou trompé, l'ensemble du système a fait confiance à un faux signal.

Le "rayon d'explosion" s'est étendu au-delà de Kelp. Aave, SparkLend, Fluid et Upshift ont suspendu les marchés liés au rsETH, a déclaré Redbord.

Aave à lui seul a enregistré plus de 5,4 milliards de dollars de retraits d'ether alors que les utilisateurs cherchaient à limiter leur exposition, a-t-il ajouté.

Deux tentatives supplémentaires de drainage de 100 millions de dollars supplémentaires ont été bloquées après que le portefeuille multi-signatures d'urgence de Kelp a gelé les contrats en 46 minutes.

"La réponse consiste à se concentrer sur la défense : des ensembles de validateurs diversifiés sur les couches de messagerie, une surveillance en temps réel des flux de mint et burn, des multisigs de pause à action rapide et des playbooks inter-protocoles qui anticipent la contagion", a écrit Redbord.

"Avril a été un mois difficile pour les constructeurs DeFi."

Lance Datskoluo est le correspondant marchés basé en Europe de DL News. Vous avez un tuyau ? Envoyez-lui un e-mail à [email protected]