Cinq mois après avoir perdu 292 millions de dollars, KelpDAO passe à l’offensive. La plainte KelpDAO contre LayerZero, déposée le 24 septembre au Canada, transforme une guerre de communiqués en bataille judiciaire. D’un côté, un protocole de restaking qui se dit trahi par son fournisseur. De l’autre, une infrastructure qui accuse son client d’imprudence depuis avril.
Plainte KelpDAO contre LayerZero : qui attaque qui ?
La plaignante s’appelle Evercrest Technologies, la société qui développe KelpDAO. Elle a saisi la Cour suprême de Colombie-Britannique d’une action civile contre LayerZero Labs et son PDG, Bryan Pellegrino, visé à titre personnel. Fait inhabituel, c’est l’accusé qui a révélé la procédure le premier. Pellegrino a publié la nouvelle sur X, jugeant la plainte sans fondement et donnant rendez-vous à Kelp à Vancouver, où LayerZero possède une filiale enregistrée.
Ce que KelpDAO reproche à LayerZero
Une configuration validée par écrit
Selon la plainte, LayerZero aurait examiné puis approuvé par écrit la configuration du pont rsETH avant l’attaque. Kelp affirme avoir suivi les réglages documentés par LayerZero elle-même. Pourtant, après le vol, LayerZero aurait publiquement rejeté la faute sur Kelp.
Des risques signalés à d’autres, mais pas à Kelp
Le document accuse aussi LayerZero d’avoir alerté un autre projet, USDT0, sur les dangers de ses paramètres par défaut. D’après Kelp, aucun avertissement comparable ne lui serait parvenu.
Un volet diffamation contre Bryan Pellegrino
Enfin, le PDG de LayerZero est poursuivi pour des publications sur X et Telegram qui auraient terni la réputation de Kelp. Toutes ces accusations restent, à ce stade, des allégations qu’aucun tribunal n’a encore examinées.
Le récit de l’attaque, vu par la plainte
La plainte fait remonter l’intrusion au 6 mars, six semaines avant le vol. Ce jour-là, un attaquant aurait piégé un développeur de LayerZero par ingénierie sociale, puis installé un logiciel malveillant sur son ordinateur. Il aurait ensuite manipulé les nœuds RPC de LayerZero et saturé un fournisseur RPC externe par une attaque par déni de service. Résultat : le 18 avril, le vérificateur (DVN) de LayerZero a validé un message falsifié, ouvrant la voie au retrait de 116 500 rsETH.
LayerZero et plusieurs chercheurs indépendants attribuent l’opération à TraderTraitor, un groupe lié à Lazarus, en Corée du Nord. Nous avions retracé le déroulé technique du vol dans notre article sur le piratage de Kelp DAO en avril.
Plainte KelpDAO contre LayerZero : la défense du pont
LayerZero tient la même ligne depuis avril. Dans son rapport de mai, l’équipe explique que Kelp s’appuyait sur un seul vérificateur indépendant, une configuration dite « 1 sur 1 ». Avec plusieurs DVN obligatoires, un vérificateur compromis n’aurait donc pas suffi à autoriser le faux message. Dès le 19 avril, LayerZero affirmait avoir déjà recommandé à Kelp de diversifier ses vérificateurs.
Le tribunal devra donc trancher une question simple en apparence : la faille venait-elle de l’infrastructure partagée, ou d’un choix de configuration trop fragile ?
Un procès qui dépasse les deux protocoles
Le vol d’avril reste le plus important de 2026 dans la DeFi. Surtout, il a déclenché une crise de liquidité qui a effacé environ 20 milliards de dollars de dépôts, selon CoinDesk. Depuis, Kelp migre son pont vers Chainlink CCIP, et une partie des fonds volés a été gelée.
L’enjeu dépasse pourtant Kelp. En 2026, les incidents se sont enchaînés, de Cronos Tectonic en août jusqu’au piratage de Bitget cette semaine. Or, jusqu’ici, aucun tribunal n’a clairement dit qui paie quand deux protocoles partagent une même faille.
Plainte KelpDAO contre LayerZero : ce que les francophones doivent en retenir
Le dossier se joue au Canada, un pays à forte communauté francophone. Côté européen, KernelDAO, la marque qui porte KelpDAO, a publié un livre blanc au format MiCA. Cependant, MiCA encadre les émetteurs et les prestataires, pas les protocoles DeFi entièrement décentralisés. Concrètement, un utilisateur en France, en Belgique ou en Suisse dispose rarement d’un recours simple quand un pont cède.
Avant de déposer des fonds sur un pont, un réflexe s’impose : vérifier combien de vérificateurs indépendants sécurisent réellement les transferts. Les détails publiés par Unchained montrent qu’un seul maillon compromis peut suffire.
⚠️ Cet article est publié à titre informatif et éducatif uniquement. Il ne constitue pas un conseil financier. Aucune recommandation d’achat ou de vente n’est exprimée. Les marchés crypto sont volatils. Les performances passées ne préjugent pas des résultats futurs. Effectuez toujours vos propres recherches. Ne misez que ce que vous pouvez vous permettre de perdre.
