KelpDAO poursuit LayerZero pour un exploit de 292 millions de dollars

Le protocole de prêt inter-chaînes accuse LayerZero et le cofondateur Bryan Pellegrino de ne pas avoir divulgué de failles critiques avant un piratage qui a drainé près de 300 millions de dollars de fonds utilisateurs.

KelpDAO, un protocole de restaking inter-chaînes, a intenté une action en justice contre LayerZero Labs et son cofondateur Bryan Pellegrino, alléguant négligence et fausse déclaration ayant conduit à un exploit de 292 millions de dollars dans le plus grand piratage crypto de 2026. La plainte porte sur l'infrastructure de messagerie de LayerZero, que KelpDAO utilisait pour ponter son token rsETH à travers plusieurs blockchains.

Selon les documents judiciaires, KelpDAO affirme que LayerZero a approuvé sa configuration de pont et fourni des conseils techniques, mais n'a pas divulgué de vulnérabilités connues dans le protocole de messagerie inter-chaînes. L'exploit s'est produit lorsque des attaquants ont manipulé la logique du pont pour frapper des tokens rsETH non autorisés sur les chaînes de destination, vidant les pools de liquidité et laissant des milliers d'utilisateurs incapables de racheter leurs positions Ethereum stakées.

Le PDG de LayerZero, Bryan Pellegrino, a publiquement rejeté la plainte comme 'sans fondement', déclarant sur les réseaux sociaux que son entreprise ne fournissait que l'infrastructure et que la responsabilité de la sécurité incombe aux protocoles construits dessus. Il a pointé vers la documentation publique de LayerZero qui, selon lui, décrit clairement les hypothèses de sécurité et recommande des garanties supplémentaires pour les ponts de grande valeur.

L'incident met en évidence des tensions croissantes concernant la responsabilité dans l'écosystème inter-chaînes, où plusieurs parties—opérateurs de ponts, protocoles de messagerie et applications frontend—partagent des responsabilités techniques mais se disputent souvent la responsabilité légale lorsque des exploits se produisent. Les précédents piratages de ponts, y compris l'exploit Ronin de 600 millions de dollars en 2022, ont déclenché des accusations mutuelles similaires entre fournisseurs d'infrastructure et protocoles s'appuyant sur eux.

Pour les utilisateurs ordinaires de DeFi, le procès soulève des questions urgentes sur la sécurité du pontage d'actifs entre blockchains. Même lorsqu'un protocole semble suivre les meilleures pratiques et reçoit l'approbation technique de partenaires d'infrastructure, des vulnérabilités cachées peuvent persister. Les investisseurs qui ont ponté des actifs vers les chaînes prises en charge par KelpDAO ont trouvé leurs positions gelées immédiatement après l'exploit, avec des perspectives de récupération encore floues.

La perte de 292 millions de dollars représente environ 18% de tous les fonds volés lors de piratages crypto durant 2026, selon la société de sécurité blockchain PeckShield. KelpDAO a suspendu toutes les opérations de pontage pendant la conduite d'un examen médico-légal, et les utilisateurs affectés ont organisé un comité de créanciers pour négocier une compensation potentielle. Le token de gouvernance natif du protocole a chuté de 73% depuis la divulgation de l'exploit.

Les experts juridiques notent que le résultat de cette affaire pourrait créer un précédent important sur la manière dont les tribunaux allouent la responsabilité dans les systèmes blockchain multi-couches. Si KelpDAO l'emporte, les fournisseurs d'infrastructure comme LayerZero pourraient subir des pressions pour mener des audits plus rigoureux des implémentations en aval ou limiter les approbations d'intégrations tierces. Un jugement en faveur de LayerZero pourrait renforcer les principes de caveat emptor, plaçant le fardeau de la vérification de sécurité directement sur les protocoles et leurs utilisateurs.