LayerZero admet une faille à l'origine du hack de 292 M$

LayerZero a officiellement reconnu une vulnérabilité dans son système de vérification DVN (Decentralized Verifier Network), directement liée au détournement de 292 millions de dollars chez KelpDAO. La semaine du 24 mai 2026 marque un tournant pour la sécurité des bridges cross-chain : l’aveu public d’un protocole de référence face à l’une des plus grosses pertes de l’année.

Au programme

• LayerZero admet une faille DVN exploitée lors du hack KelpDAO de 292 M$, l’une des plus importantes de 2026
• Les bridges cross-chain concentrent désormais plus de 60 % des pertes liées aux hacks DeFi depuis 2022
• Les ETF Bitcoin enregistrent une vague de ventes simultanée, ajoutant une pression macro au secteur

Comment la faille LayerZero a-t-il permis le hack de 292 M$ ?

Le hack KelpDAO repose sur une manipulation du mécanisme DVN de LayerZero, chargé de valider les messages entre blockchains. Selon les éléments connus à ce jour, l’attaquant a injecté un faux message cross-chain, validé par des nœuds DVN compromis ou contournés, pour vider les contrats du protocole.

Cette mécanique n’est pas sans rappeler l’exploitation du bridge Ronin en mars 2022, qui avait coûté 620 M$ à l’écosystème Axie Infinity : dans les deux cas, la couche de validation inter-chaînes constitue le maillon faible. La différence ici est que LayerZero a reconnu la responsabilité du protocole dans un délai relativement court, ce qui est rare dans le secteur.

Le montant de 292 M$ positionne cet incident parmi les 5 plus importants hacks DeFi jamais enregistrés, aux côtés du vol de 200 M$ chez BitMart en 2021.

Pourquoi les bridges cross-chain restent-ils la cible privilégiée des attaquants ?

Les bridges concentrent structurellement des liquidités massives dans des contrats intelligents exposés à plusieurs environnements d’exécution. Chaque interaction inter-chaîne multiplie la surface d’attaque : un message falsifié dans un sens suffit à déclencher un transfert légitime dans l’autre.

Depuis 2022, plus de 2,5 milliards de dollars ont été dérobés sur les seuls bridges cross-chain, ce qui représente la part la plus importante des pertes DeFi sur la période. Le hack KelpDAO s’inscrit dans une tendance documentée : les auditeurs de sécurité alertent depuis plusieurs années sur la fragilité des systèmes de messagerie inter-blockchain, sans que les protocoles ne convergent vers un standard de vérification robuste.

« Contrairement aux campagnes drainer-as-a-service classiques qui reposent sur des approbations frauduleuses de tokens ERC-20, cette opération a siphonné presque exclusivement de l’ETH natif. » : Crypto Times, 24 mai 2026 (traduit de l’anglais)

Le hack du bridge Nomad en 2022, pillé par une horde d’imitateurs, avait déjà démontré qu’une seule faille de validation pouvait être exploitée de façon industrielle. L’admission de LayerZero rouvre ce débat à l’échelle du protocole.

Quel impact sur les marchés et les ETF Bitcoin cette semaine ?

La reconnaissance de la faille DVN coïncide avec une semaine de repli pour les ETF Bitcoin spot aux États-Unis. Les données disponibles font état d’une vague de ventes nette sur ces produits, sans que les montants précis aient été consolidés à l’heure de publication. Ce mouvement s’inscrit dans un contexte macro dégradé : l’Inde aurait par ailleurs renforcé ses contrôles sur les sorties de capitaux vers les actifs numériques, selon les mêmes informations.

La conjonction d’un hack majeur et d’un repli ETF rappelle les dynamiques observées après le hack du bridge BNB Chain, qui avait mis le réseau en maintenance forcée pour une attaque estimée à 100 M$. Les épisodes de ce type tendent à amplifier temporairement la corrélation entre incidents de sécurité DeFi et sentiment négatif sur les actifs liquides.

Notre lecture L’admission publique de LayerZero est un signal inhabituel dans un secteur où les protocoles minimisent souvent leur responsabilité. Elle révèle une tension croissante entre la vitesse de déploiement des bridges cross-chain et l’absence de standards de vérification inter-opérables. Tant que les DVN restent configurables par chaque protocole, la surface d’attaque reste ouverte : le prochain hack de ce type n’est pas une question de “si”, mais de “quand”.

À retenir

LayerZero reconnaît une faille DVN derrière l’un des hacks les plus importants de 2026. La sécurité des bridges cross-chain reste le problème structurel non résolu de la DeFi. À surveiller : la réponse de LayerZero sur la correction du mécanisme DVN et les éventuels recours lancés par les victimes du hack KelpDAO.