La vague de hacks des ponts DeFi en 2026

L’exploit géant KelpDAO–LayerZero (292 millions de dollars)

Le plus grand piratage DeFi de 2026 s’est produit le 18 avril, lorsque des attaquants ont réussi à siphonner environ 116 500 rsETH — soit près de 292 millions de dollars — depuis le pont cross‑chain de KelpDAO utilisant l’infrastructure LayerZero.

Les enquêtes ont montré que l’attaque ne visait pas principalement une faille du smart contract lui‑même. Elle exploitait plutôt l’architecture de vérification et l’infrastructure technique autour du pont.

Les facteurs clés identifiés comprennent :

• Configuration avec un seul vérificateur : KelpDAO utilisait un réseau de vérification (DVN) configuré en 1‑sur‑1, ce qui signifie qu’un seul vérificateur pouvait approuver les messages inter‑chaînes.
• Infrastructure compromise : les attaquants ont infiltré des nœuds RPC utilisés par ce système et manipulé les données servant à valider les transactions.
• Message cross‑chain falsifié : grâce à ces manipulations, ils ont pu envoyer un message indiquant qu’un token avait été brûlé sur une autre blockchain, déclenchant la libération de fonds sur Ethereum.

Plusieurs analyses indiquent que l’opération pourrait être liée au groupe de hackers nord‑coréen Lazarus, notamment au cluster TraderTraitor. Cette attribution reste toutefois préliminaire et non confirmée judiciairement.

L’attaque contre THORChain

Un autre incident notable s’est produit le 15 mai 2026, lorsque le protocole de liquidité cross‑chain THORChain a perdu environ 10,8 millions de dollars répartis sur plusieurs réseaux, dont Bitcoin, Ethereum et BNB Chain.

Les enquêteurs soupçonnent une faille dans le système de signature distribuée GG20 (threshold signature) utilisé pour autoriser les transactions.

Selon les analyses disponibles, un nœud malveillant impliqué dans les cycles de signature aurait progressivement accumulé des fragments de matériel cryptographique au fil d’opérations légitimes. Une fois suffisamment de fragments réunis, l’attaquant aurait pu reconstituer la clé privée contrôlant un coffre Asgard, permettant de signer des retraits non autorisés.

Cet incident rappelle un risque bien connu : si suffisamment de fragments de clé sont exposés dans un système de signatures distribuées, l’intégralité du coffre contenant les actifs du pont peut être compromise.

Le piratage du pont Verus–Ethereum

Le 18 mai 2026, un autre exploit a frappé le pont Verus‑Ethereum, entraînant environ 11,58 millions de dollars de pertes.

L’attaquant a extrait plusieurs actifs, notamment :

• 103,6 tBTC
• 1 625 ETH
• environ 147 000 USDC

Les fonds ont ensuite été convertis en ETH.

Les chercheurs ont identifié une lacune dans la logique de validation du pont :

• Les deux côtés du pont validaient les transactions cross‑chain.
• Mais aucun des deux ne vérifiait explicitement une donnée cruciale : le montant transféré sur la blockchain d’origine.

En exploitant cette omission, un attaquant pouvait envoyer un message techniquement valide mais représentant presque aucune valeur réelle sur la chaîne source, tout en déclenchant un paiement important depuis les réserves du pont.

Pourquoi les ponts cross‑chain restent des cibles faciles

Les incidents de 2026 confirment un avertissement souvent répété par les experts en sécurité blockchain : les ponts sont souvent l’élément le plus risqué de l’infrastructure DeFi.

Plusieurs faiblesses structurelles apparaissent régulièrement dans ces attaques.

1. Un petit nombre de validateurs

Beaucoup de ponts s’appuient sur un nombre limité de validateurs, relayers ou vérificateurs pour confirmer les messages entre blockchains. Si l’un d’eux est compromis — comme dans l’affaire KelpDAO — les attaquants peuvent autoriser des transferts frauduleux.

2. Risques liés aux clés privées

De nombreux ponts contrôlent leurs réserves via des systèmes multisignatures ou des signatures distribuées. Si les attaquants récupèrent suffisamment de fragments de clé ou compromettent plusieurs nœuds, ils peuvent produire des signatures apparemment légitimes pour des retraits malveillants.

3. Validation incomplète des messages

Les ponts doivent prouver qu’un événement s’est réellement produit sur une blockchain avant de libérer des actifs sur une autre. Des vérifications manquantes ou incohérentes — comme dans le cas du pont Verus — peuvent permettre à des preuves falsifiées de passer la validation.

4. L’infrastructure hors‑chaîne comme point d’attaque

Les systèmes cross‑chain dépendent fortement d’éléments hors‑chaîne : nœuds RPC, relayers, outils opérationnels et systèmes de surveillance. Si ces composants sont compromis, les données utilisées pour vérifier les transactions peuvent être falsifiées, comme dans l’exploit KelpDAO.

Un enjeu majeur pour la confiance dans la DeFi

Les hacks de ponts ne se contentent pas de voler des fonds : ils fragilisent la promesse fondamentale de la finance décentralisée — la circulation fluide des actifs entre blockchains.

Lorsqu’un pont échoue :

• des actifs « wrapés » peuvent perdre leur garantie
• des marchés de prêt utilisant ces actifs comme collatéral peuvent se figer
• la liquidité et les routes d’échange cross‑chain peuvent être perturbées

Parce que les ponts agissent comme des points de conservation centralisant d’énormes réserves de tokens, une seule faille peut avoir des répercussions sur plusieurs blockchains et protocoles.

La vague d’attaques du début 2026 suggère donc que le problème dépasse les simples bugs de code : il s’agit d’un risque architectural systémique. Tant que les ponts ne s’appuieront pas sur des modèles de vérification plus robustes, une décentralisation accrue des validateurs et une infrastructure opérationnelle mieux sécurisée, ils resteront l’une des cibles privilégiées des cybercriminels dans l’écosystème crypto.