Le 18 avril, un exploit sur le bridge de Kelp DAO a vidĂ© prĂšs de 200 millions de dollars Ă Aave. Depuis, les gros titres pointent le protocole du doigt. Pourtant, une question dĂ©range : Aave a-t-il vraiment Ă©tĂ© piratĂ©, ou nâest-il quâune victime collatĂ©rale encaissant la dĂ©faillance dâun tiers ? Analysons.

Lâattaque en 46 minutes chrono
17h35 UTC. Un attaquant exploite une faille dans le bridge LayerZero de Kelp DAO. Le bridge lâaccepte comme lĂ©gitime et libĂšre 116 500 rsETH, soit lâĂ©quivalent de 293 millions de dollars.
ProblĂšme : ces rsETH nâont aucun backing rĂ©el. Ce sont des tokens fantĂŽmes.Â
Un attaquant classique les aurait vendus directement sur le marché évitant ainsi tout problÚme sur AAVE, mais celui-ci agit différemment.
Il dĂ©pose ses rsETH sur Aave V3 et V4 comme collatĂ©ral et emprunte ensuite du WETH, un Ă©quivalent de lâETH utilisĂ© dans la pool du protocole. Quand Kelp DAO gĂšle son bridge Ă 18h21, les rsETH toxiques sont dĂ©jĂ inscrits dans les livres dâAave, et lâETH rĂ©el est dĂ©jĂ parti.
RĂ©sultat : Aave se retrouve avec du collatĂ©ral qui ne vaut rien en face dâune dette qui, elle, est bien rĂ©elle.
La chronologie complĂšte :
- 17h35 UTC. Lâattaquant envoie un message forgĂ© au bridge LayerZero de Kelp.
- 17h35. Le bridge accepte le message et libĂšre 116 500 rsETH (293 M$).
- 17h36 â 18h15. Lâattaquant dĂ©pose le rsETH sur Aave V3 et V4 comme collatĂ©ral et emprunte du WETH rĂ©el.
- 18h21. Kelp gÚle ses contrats en urgence. 46 minutes aprÚs le début.
- 18h52. LâAave Guardian gĂšle tous les marchĂ©s rsETH et wrsETH.
- Nuit du 18 au 19 avril. Panique. 6,2 milliards de dollars quittent Aave en retraits nets.
- 19 avril. Le token AAVE plonge de 18 %. La TVL dâAave chute de 26 Ă 22 milliards.
- 20 avril. La TVL descend Ă 17,9 milliards.

Le faux coupable : la proposition 434
Six mois avant lâattaque, lâAave Chan Initiative avait fait passer la Proposition 434. Elle augmentait le LTV du rsETH Ă 93 % en E-Mode, le mode dâoptimisation dâAave pour les actifs corrĂ©lĂ©s Ă lâETH. Cette dĂ©cision est pointĂ©e du doigt depuis samedi.Â
à tort, ou au mieux à moitié.
| Protocole | LTV du rsETH | Marge de sécurité |
| Aave (aprĂšs Prop 434) | 93 % | 7 % |
| SparkLend | 72â75 % | 25â28 % |
| Fluid | 72â75 % | 25â28 % |
Le LTV Ă 93% vs 72-75% change lâampleur du dĂ©gĂąt, pas la nature de lâattaque.
- Ă 93% LTV â lâattaquant emprunte 273M$ contre 293M$ de rsETH
- Ă 72% LTV â lâattaquant emprunte 211M$ contre 293M$ de rsETH
En temps normal, un LTV Ă©levĂ© est dangereux parce quâune chute progressive du collatĂ©ral peut rendre la position non-liquidable avant que les arbitragistes rĂ©agissent.
Sauf que le rsETH nâa pas baissĂ© de 10 %. Il nâa pas baissĂ© progressivement. Il est passĂ© de pleine valeur Ă zĂ©ro instantanĂ©ment, au moment mĂȘme oĂč le bridge libĂ©rait les tokens fantĂŽmes. Les liquidateurs ont Ă©tĂ© impuissants Ă nâimporte quel LTV : il nây avait plus rien Ă liquider.
Le vrai Ă©chec dâĂ©valuation du risque est en amont.
Accepter un liquid restaking token comme collatĂ©ral revient Ă dĂ©lĂ©guer la solvabilitĂ© du prĂȘt Ă une chaĂźne dâacteurs que le prĂȘteur ne contrĂŽle pas. LâĂ©metteur du token (Kelp DAO). Le bridge qui le fait voyager (LayerZero). Les validateurs des rĂ©seaux intermĂ©diaires. Chaque maillon est un point de dĂ©faillance unique.
Le 18 avril, le maillon qui a cassĂ©, câest le bridge, pas AAVE.
196 millions de dollars de mauvaise dette : qui va payer la facture ?
Le dĂ©ficit WETH final atteint 196 millions de dollars. Câest ce quâon appelle de la âmauvaise detteâ et Aave a deux outils pour lâabsorber.
Le premier est Umbrella, le nouveau Safety Module lancĂ© fin 2025. Certains utilisateurs stakent volontairement leurs aTokens (les tokens reprĂ©sentant leurs dĂ©pĂŽts) contre des rĂ©compenses supplĂ©mentaires. En contrepartie, ils acceptent dâĂȘtre brĂ»lĂ©s en cas de dĂ©ficit. Automatique, pas de vote, pas de dĂ©lai. Umbrella a 50 millions de dollars dâaWETH stakĂ©s Ă disposition. Pour ces derniers pas de sujet : ils vont devoir financer la perte.
Sauf que 50 millions ne couvrent pas 196 millions. Il reste 146 millions Ă absorber ailleurs.
Le second mĂ©canisme sâappelle le haircut pro rata. Il est automatique aussi. Le dĂ©ficit restant est inscrit dans la rĂ©serve WETH, ce qui revient Ă dire que les aWETH en circulation reprĂ©sentent collectivement plus de WETH quâil nâen existe rĂ©ellement dans la pool.
- Avant lâincident : 1 aWETH = 1 WETH.Â
- AprĂšs : 1 aWETH = environ 0,96 WETH.
Une perte de 4 % appliquĂ©e Ă tous les dĂ©posants WETH dâAave, proportionnellement Ă leur dĂ©pĂŽt. Un investisseur particulier qui avait 10 ETH dans la pool vient de perdre lâĂ©quivalent de 0,4 ETH.
Mais il y a également une troisiÚme option qui est actuellement discutée au sein de la gouvernance.
Câest mĂȘme deux options supplĂ©mentaires qui sont sur la table :
| Option | Mécanisme | Qui paie ? |
| A (déclenchée) | Haircut pro rata sur les aWETH | Les déposants WETH |
| B | Slashing des stkAAVE (max 20 %) | Les holders dâAAVE stakĂ©s |
| C | Remboursement par la DAO Treasury | Tous les holders AAVE |
Lâargument de ceux qui poussent pour B ou C est simple : ce sont les stkAAVE holders qui ont approuvĂ© lâacceptation du rsETH. Ce sont eux qui devraient absorber la dette, pas des utilisateurs passifs qui ne participent pas Ă la gouvernance.
Nous sommes dans un choix politique et moral qui sera important pour lâethos dâAAVE.
Le vote est attendu dans les deux semaines.
Lâavis du Club 25% sur la situation
PremiĂšre question reçue des membres depuis samedi : sommes-nous exposĂ©s ?Â
RĂ©ponse courte : non. Le portefeuille public du Club 25% nâavait aucune exposition au rsETH, aucun dĂ©pĂŽt WETH sur Aave, aucune ligne affectĂ©e par lâincident ou le bank run qui lâa suivi.
Ce qui mĂ©rite plus dâattention, câest la rĂ©action du marchĂ© elle-mĂȘme. Aave nâest pas une banque. Le protocole ne pratique pas la rĂ©serve fractionnaire. Chaque prĂȘt est sur-collatĂ©ralisĂ©, chaque position est auditable on-chain en temps rĂ©el.
Faisons les comptes. Le dĂ©ficit final, aprĂšs Umbrella, atteint 146 millions de dollars. La TVL dâAave, mĂȘme aprĂšs la sortie de 8 milliards en retraits, tourne autour de 17,9 milliards.Â
Le trou reprĂ©sente 0,8 % des actifs du protocole.Â
Aucun risque de solvabilitĂ© globale. Aucune cascade dâinsolvabilitĂ© possible.
Le bank run nâest donc pas une fuite face Ă lâinsolvabilitĂ©. Câest une rĂ©action Ă©motionnelle au mot « hack ». Les dĂ©posants prĂ©fĂšrent retirer dâabord, comprendre ensuite. Rationnellement, la majoritĂ© nâavait aucune raison de partir.
Et cette irrationalitĂ© crĂ©e des fenĂȘtres. Quand des milliards sortent dâun protocole en 48 heures, les taux bougent. AAVE offre en ce moment des rendements importants sur des stablecoins qui nâont aucune raison dâĂȘtre touchĂ© par quelconque mauvaise dette.
Et câest prĂ©cisĂ©ment notre travail que de vous le dire : identifier ces fenĂȘtres, documenter les positions en direct sur un portefeuille public de 100 000 dollars en stablecoins, exĂ©cuter Ă froid quand le reste du marchĂ© rĂ©agit Ă chaud.
Rejoindre le Club 25% et reprenez le contrĂŽle de votre patrimoine
Terminons cette analyse sur une prise de recul importante avec la traduction du commentaire dâApuMallku qui permet dâentrevoir le vrai problĂšme systĂ©mique de la DeFi aujourdâhui et qui est en passe dâĂȘtre rĂ©solu :Â
âNous devons reconnaĂźtre que les Guardians Aave, aussi diligents soient-ils, opĂšrent sur des timelines humaines. Dans une forĂȘt sombre oĂč les acteurs malveillants se dĂ©placent Ă la vitesse du mempool, sâappuyer sur lâintervention manuelle nâest plus une stratĂ©gie de sĂ©curitĂ© viable pour un protocole de cette envergure. Nous devons prioriser le dĂ©veloppement dâagents on-chain autonomes capables dâagir pour suspendre les retraits ou geler les caps quand des schĂ©mas malveillants spĂ©cifiques sont dĂ©tectĂ©sâ
Les agents AI comme solution. Quoi dâautre ?
Lâarticle Aave sous le choc : comment un bug de bridge fait vaciller le n°1 de la DeFi est apparu en premier sur Journal du Coin.