Evercrest Technologies, société mère de KelpDAO, a intenté un procès contre LayerZero Labs et un co-fondateur pour l'exploitation du 18 avril qui a drainé 116 500 rsETH, soit environ 292 millions de dollars, alléguant que la configuration à vérificateur unique du pont avait été examinée et approuvée par écrit. C'est la première fois qu'un protocole DeFi porte son propre fournisseur d'infrastructure devant les tribunaux, et cela met à l'épreuve le slogan le plus ancien du secteur.
L'affaire de responsabilité de 292 millions de dollars sur le pont DeFi a tué le « Code est la loi »
Points clés
- La société mère de KelpDAO, Evercrest Technologies, a intenté un procès contre LayerZero Labs et le co-fondateur Bryan Pellegrino pour l'exploitation du 18 avril qui a drainé 116 500 rsETH, soit environ 292 millions de dollars, la plus grande exploitation DeFi de 2026.
- La réclamation repose sur une configuration de vérificateur 1-contre-1 que LayerZero aurait « examinée et approuvée par écrit », puis attribuée publiquement à la propre configuration de Kelp.
- C'est la première fois qu'un protocole DeFi porte son propre fournisseur d'infrastructure devant les tribunaux, un défi direct au principe du « code est la loi ».
- L'attaquant est lié au groupe Lazarus de Corée du Nord, mais le litige juridique oppose deux entreprises crypto solvables sur la question de savoir qui possédait le maillon faible.
Un message falsifié, 292 millions de dollars, un bloc
Le 18 avril 2026, un seul message falsifié a convaincu un pont interchaînes de libérer 116 500 rsETH, soit environ 292 millions de dollars, en un seul bloc. Aucune clé privée n'a été volée et aucun contrat intelligent n'a dysfonctionné. Le code a fait exactement ce qu'on lui a demandé ; on lui a simplement menti. Le solde du pont de Kelp est passé de 116 723 rsETH à 223 rsETH dans ce bloc, ce qui signifie qu'environ 18 % de l'offre en circulation de rsETH a quitté le pont.
Le 24 septembre, Evercrest Technologies, la société mère de KelpDAO, a déposé une demande civile contre LayerZero Labs et le co-fondateur Bryan Pellegrino devant la Cour suprême de la Colombie-Britannique. Dans un seul dépôt, le slogan le plus ancien de la DeFi a obtenu une date d'audience.
Que signifie « le code est la loi » lorsque le code est erroné ?
« Le code est la loi » est le principe fondateur de la crypto depuis une décennie : pas de contreparties, pas de tribunaux, pas d'erreur humaine, seulement des mathématiques. Un pont interchaînes est censé être l'expression la plus pure de cette idée. Verrouiller un jeton sur une chaîne, en frapper un équivalent sur une autre, et laisser des vérificateurs plutôt que des humains faire respecter les règles. « Sans confiance » (trustless) n'a toujours été qu'une demi-vérité, car quelqu'un doit faire fonctionner le vérificateur qui s'assure que les jetons ont effectivement été brûlés avant qu'un montant équivalent ne soit libillé ailleurs.
Dans le cas de Kelp, cet acteur était LayerZero, plus précisément un réseau de vérificateurs décentralisés (DVN) de type 1-1. Concrètement, un seul vérificateur se trouvait entre un message entrant et le déblocage de 292 millions de dollars. Il n'y avait aucun deuxième avis ni aucune vérification croisée. Ce point de confiance unique résume toute l'affaire : l'attaque n'a pas compromis le pont, elle a empoisonné le seul capteur sur lequel le pont reposait.
Qui gagne et qui perd lorsqu'un pont tombe en panne ?
Les gagnants sont faciles à nommer. Les tribunaux et les conseils externes, en premier lieu. Le CCIP de Chainlink, l'alternative vers laquelle Kelp s'est migré en mai, a gagné en visibilité que les budgets publicitaires achètent rarement : Solv Protocol a déplacé environ 700 millions de dollars de SolvBTC hors de LayerZero, et Lombard, avec 2,1 milliards de dollars de valeur totale bloquée, a suivi. Les sociétés d'assurance et d'audit attirent de nouvelles affaires après chaque perte médiatisée. Chaque protocole fonctionnant déjà avec une redondance multi-vérificateurs est devenu plus attractif par comparaison.
Les perdants sont tout aussi clairs. La réputation de LayerZero a absorbé le coup direct, et Aave supporte une dette improductive estimée entre 123,7 millions et 230,1 millions de dollars après que l'attaquant ait déposé des rsETH contrefaits et emprunté des actifs réels contre ceux-ci. La victime la plus silencieuse est la position intransigeante sans recours, l'argument selon lequel dans la DeFi, les pertes sont définitives et personne ne doit rien à personne. Une entreprise crypto a désormais montré que même les propres bâtisseurs de l'industrie n'acceptent pas ce cadre.
L'effet de second ordre pourrait être plus important que tout cela. La phrase « examiné et approuvé par écrit » est désormais un instrument juridique. Les documents, les journaux de discussion internes et les messages directs des fournisseurs d'infrastructure constituent des preuves potentielles en phase de divulgation. Une vague de réécriture des conditions générales de service dans l'industrie inter-chaînes au cours des douze prochains mois serait un résultat banal.
Cela s'est-il déjà produit ?
Pas sous cette forme. En 2022, Wormhole a perdu 325 millions de dollars et Jump Crypto a remboursé les utilisateurs en quelques jours, sans tribunal ni jeu de responsabilités. En 2023, Multichain a perdu environ 1,5 milliard de dollars, son directeur général a été arrêté en Chine et les fonds sont restés gelés, sans contrepartie à poursuivre. En 2022, Ronin a perdu 625 millions de dollars et a été résolu grâce à des soutiens coordonnés. Le manuel de DeFi était binaire : un sauvetage discret ou un effondrement retentissant. Il n'y avait pas d'option troisième.
La réclamation de Kelp en introduit une. Deux sociétés de cryptomonnaies solvables demandent à un tribunal de décider qui était propriétaire du maillon faible : le protocole qui a déployé le pont, ou le fournisseur d'infrastructure dont un seul vérificateur a approuvé un message falsifié. LayerZero a d'abord déclaré que son protocole « fonctionnait exactement comme prévu » et que les utilisateurs ne devraient pas s'en remettre à un seul DVN, puis a reconnu plus tard qu'il « a commis une erreur en permettant à notre DVN d'agir en tant que DVN 1-sur-1 pour les transactions à haute valeur ». Kelp affirme que LayerZero a averti un développeur distinct, USDT0, des risques liés aux vérificateurs à la fin de 2024 ou au début de 2025, mais n'a pas transmis le même avertissement à Kelp. Cette asymétrie est ce que la litige existe pour examiner.
Où va la responsabilité des ponts dans un à trois ans ?
Attendez-vous à ce que l'« infrastructure de responsabilisation » devienne une catégorie de produit : enveloppes juridiques, entités juridiques DAO, assurances sur chaîne et clauses de responsabilité explicites écrites dans les accords d'intégration. « Qui vérifie votre pont ? » rejoint « qui audite votre code ? » sur les listes de vérification de diligence raisonnable institutionnelle. L'hypothèse selon laquelle un opérateur de pont est dégagé de toute responsabilité au moment où une transaction est terminée.
Une deuxième force évolue en parallèle. La même semaine où Kelp a déposé sa plainte, l'État de New York a poursuivi Polymarket pour des activités de jeu, rappelant que les litiges entre l'État et l'industrie s'accélèrent sur leur propre voie. Les régulateurs liront les litiges crypto-contre-crypto comme une feuille de route : là où l'industrie ne parvient pas à s'accorder sur la responsabilité, les tribunaux et les agences comblent le vide. L'ère du règlement privé de ces questions prend fin car les pertes sont devenues trop importantes et les contreparties sont désormais suffisamment importantes pour les contester.
Ce que les participants au marché devraient retenir de cela
Il ne s'agit pas d'une histoire de prix, et elle ne devrait pas être lue comme telle. Elle modifie la manière dont le risque doit être évalué. Premièrement, les points uniques de défaillance méritent une réévaluation : le capital continue de migrer vers des configurations à plusieurs vérificateurs et plusieurs fournisseurs, et les protocoles fonctionnant encore avec un seul DVN subissent une décote que le marché n'a pas encore entièrement intégrée. Deuxièmement, les endorsements écrits se comportent désormais comme des passifs contingents ; si un fournisseur d'infrastructure a endossé une configuration, cet endossement est une réclamation potentielle contre lui. Troisièmement, l'attribution dans cette affaire, ingénierie sociale d'un développeur de LayerZero suivie de l'empoisonnement de son infrastructure RPC par un cluster lié à Lazarus connu sous le nom de TraderTraitor, décrit une classe d'attaques récurrente et bien financée plutôt qu'un incident isolé. La DeFi consciente des sanctions et conforme devient un véritable différenciateur plutôt qu'un terme marketing.
La leçon la plus profonde est que l'exploitation n'était pas une compromission de clé. Il s'agissait d'un empoisonnement de l'infrastructure, une classe d'attaques qu'une audit de contrat intelligent ne révèle pas. Une thèse de sécurité qui commence et se termine par des contrats audités examine la mauvaise couche.
La question que personne ne veut répondre
Le détail le plus révélateur n'est pas les 292 millions de dollars. C'est que deux équipes crypto qui prônent toutes deux la confiance dans le code demandent maintenant à un tribunal de décider qui a fait confiance à qui. Lorsque les propres créateurs de la DeFi refusent d'accepter « le code est la loi » comme réponse, le reste du marché ne devrait pas le faire non plus. La vraie question n'était jamais de savoir si le crypto-développement développerait une responsabilité, mais qui l'écrit : un tribunal, ou la DAO qui était censée en remplacer un.
FAQ
Que s'est-il passé dans l'exploitation de KelpDAO ? Le 18 avril 2026, des attaquants ont injecté un message falsifié au seul vérificateur sécurisant le pont LayerZero de Kelp, ce qui a conduit à la libération de 116 500 rsETH, environ 292 millions de dollars, sans combustion correspondante sur la chaîne source. Le solde du pont de Kelp est passé de 116 723 rsETH à 223 rsETH en un seul bloc.
Pourquoi KelpDAO poursuit LayerZero ? Kelp allègue que LayerZero « a examiné et approuvé par écrit » la configuration vulnérable du vérificateur 1-contre-1, puis a publiquement blâmé la configuration de Kelp après la perte, et que LayerZero a averti un autre développeur des risques liés aux vérificateurs mais n'a jamais averti Kelp. La plainte invoque une fausse déclaration négligente, une négligence et une diffamation.
"Le code est la loi" signifie-t-il que personne n'est responsable ? En pratique, non. Cela a généralement signifié que lorsque le code échoue, l'utilisateur absorbe la perte. Ce procès montre que même les propres créateurs de l'industrie s'attendent désormais à un recours : un tribunal pour décider qui possédait le maillon faible lorsque le code a fait ce qu'on lui a dit, mais qu'on lui a menti.
Qui est censé avoir détourné les fonds ? Le rapport d'incident de LayerZero, citant Mandiant et CrowdStrike, a attribué l'intrusion à TraderTraitor, également suivi sous le nom d'UNC4899, un cluster lié au groupe Lazarus de Corée du Nord. La piste des fonds mène à un acteur étatique, tandis que le litige judiciaire oppose Kelp et LayerZero.
Que signifie cela pour les autres ponts ? Attendez-vous à ce que les capitaux continuent de migrer vers des configurations à multi-vérificateurs et multi-fournisseurs telles que Chainlink CCIP, et attendez-vous à ce que les fournisseurs d'infrastructure révisent leurs conditions d'utilisation et leurs clauses de non-responsabilité. « Qui vérifie votre pont ? » est désormais une question de diligence raisonnable plutôt qu'une pensée après coup.