Depuis l'attaque du pont inter-chaînes de KelpDAO en avril dernier pour environ 292 millions de dollars, le paysage de la sécurité des infrastructures inter-chaînes connaît une restructuration intense. Selon les estimations, environ 40 milliards de dollars d'actifs ont déjà ou sont en train de migrer du protocole LayerZero vers le protocole CCIP (Cross-Chain Interoperability Protocol) de Chainlink.
L'attaque s'est produite aux premières heures du 19 avril, lorsque le pirate a appelé une fonction du contrat Endpoint V2 de LayerZero, déclenchant la libération d'environ 116 500 rsETH par le contrat de pontage de KelpDAO, d'une valeur d'environ 292 millions de dollars. Le mécanisme d'arrêt d'urgence du protocole a ensuite empêché des pertes supplémentaires d'environ 100 millions de dollars.
Après l'attaque, LayerZero a publié une déclaration indiquant que les premières analyses suggéraient que le pirate était un acteur étatique hautement sophistiqué, soupçonné d'appartenir au groupe Lazarus nord-coréen (TraderTraitor).
L'essence de la méthode d'attaque résidait dans la compromission des nœuds RPC utilisés par le réseau de validateurs décentralisé de LayerZero, combinée à une attaque DDoS forçant le système à basculer vers un nœud déjà infiltré, permettant ainsi à des messages falsifiés de passer. Le point de controverse central de l'incident est que KelpDAO utilisait à l'époque une configuration de validation unique (1-of-1), qui a été exploitée, créant un point de défaillance unique.
LayerZero a reconnu qu'il était une grave erreur d'autoriser son réseau officiel de validateurs à signer des messages pour des transactions à haute valeur avec une configuration 1/1, et a annoncé la fin de la signature de messages pour les configurations à validateur unique. KelpDAO a quant à lui souligné que cette configuration était apparue comme paramètre par défaut dans le code de déploiement de LayerZero. Quelle que soit la répartition des responsabilités, cette attaque a exposé la vulnérabilité de la vérification des messages inter-chaînes sous une configuration spécifique.
Une vague de migration s'est alors engagée. Le 6 mai, la victime, KelpDAO, a été la première à annoncer l'abandon de LayerZero, transférant entièrement les infrastructures inter-chaînes pour le rsETH vers Chainlink CCIP.
Deux jours plus tard, le protocole de jalonnement Bitcoin Solv Protocol a basculé l'infrastructure inter-chaînes pour ses tokens SolvBTC et xSolvBTC, d'une valeur totale de plus de 7 milliards de dollars, vers CCIP, couvrant toutes les liaisons supportées.
Le même jour, le protocole de réassurance décentralisée Re a également migré la solution inter-chaînes pour son token de dépôt reUSD vers CCIP, le désignant comme la solution inter-chaînes exclusive. Le protocole de prêt non-custodial Tydro figurait également parmi les premiers à migrer.
Le 14 mai, Kraken a annoncé le remplacement de LayerZero par Chainlink CCIP en tant que fournisseur exclusif de services inter-chaînes pour ses actifs cryptographiques encapsulés, y compris le bitcoin encapsulé kBTC, couvrant plusieurs blockchains comme Ink, Ethereum, Optimism. Le 16 mai, Lombard a annoncé l'abandon de LayerZero, migrant plus de 10 milliards de dollars d'actifs adossés au Bitcoin vers CCIP, en adoptant un standard de token inter-chaînes de type « burn & mint ».
Selon les données de DefiLlama, si l'on ne considère que la valeur totale actuellement bloquée (TVL) dans les principaux protocoles DeFi, la taille combinée des cinq protocoles cités dépasse 34 milliards de dollars. En ajoutant les actifs encapsulés institutionnels, le volume global de migration s'élève à environ 40 milliards de dollars.
Coinbase avait, elle, choisi dès décembre 2025 CCIP comme fournisseur exclusif d'interopérabilité pour tous ses actifs encapsulés, couvrant des actifs comme cbBTC, cbETH, cbDOGE, cbLTC, cbADA et cbXRP, pour une capitalisation totale d'environ 70 milliards de dollars à l'époque. En janvier 2024, Circle avait également intégré CCIP pour supporter les transferts multi-chaînes de l'USDC.
La réaction du marché à cette migration de confiance s'est directement reflétée dans les cours des tokens.
Selon les données de CoinMarketCap, le cours de LINK a augmenté de 2,73% sur les 30 derniers jours, s'établissant à 9,6 dollars, avec une capitalisation de 69,8 milliards de dollars, se maintenant fermement à la 16ème place du marché crypto. En revanche, sur la même période, ZRO a chuté de 22,63%, à 1,34 dollar, avec une capitalisation de 4,34 milliards de dollars, glissant à la 92ème place. LayerZero fait également face à la pression supplémentaire du déblocage le 20 mai de plus de 25,71 millions de tokens ZRO, d'une valeur d'environ 34,45 millions de dollars, représentant 5,07% de l'offre en circulation.
Les données Dune montrent que le réseau LayerZero a enregistré une sortie nette d'environ 20,1 milliards de dollars au cours des 30 derniers jours.
Derrière cet afflux massif de protocoles, se trouve une différence significative dans l'architecture de sécurité entre Chainlink CCIP et LayerZero. Chainlink avait annoncé en avril 2024 l'entrée en phase de disponibilité générale de CCIP, supportant des blockchains comme Arbitrum, Base, BNB Chain, Ethereum.
Chainlink CCIP est profondément intégré à son réseau de oracles décentralisés, formant une couche de consensus hors-chaîne composée de plusieurs opérateurs de nœuds indépendants qui observent, vérifient et rapportent les événements inter-chaînes, le tout complété par un réseau de gestion des risques indépendant fournissant une surveillance et une protection supplémentaires. Son mécanisme de transfert de tokens intègre des fonctions telles que la limitation de débit et les mises à niveau avec période de blocage, formant un modèle de sécurité en profondeur.
Les données Dune indiquent que le volume cumulé de transferts de tokens inter-chaînes via Chainlink CCIP a dépassé les 20 milliards de dollars. Parmi ceux-ci, les stablecoins décentralisés GHO et USDC représentent les plus grandes parts, avec respectivement 22,4% et 20,2%, soit environ 5,31 et 4,81 milliards de dollars.
En comparaison, LayerZero adopte une architecture hautement modulaire à cinq couches, séparant complètement l'interface, la validation et l'exécution, permettant aux développeurs de composer leur propre réseau de validation décentralisé et de configurer les seuils de validation. Cette conception offre une grande flexibilité, mais exige également des applications qu'elles choisissent et maintiennent activement leur configuration de sécurité.
L'incident de KelpDAO a mis en lumière le défaut fatal de la configuration à validateur unique. À l'époque, les protocoles ayant opté pour la configuration 1/1 représentaient jusqu'à 47%, ce qui a poussé de nombreux projets à se tourner rapidement vers CCIP, dont l'option par défaut est la validation décentralisée et qui offre des contrôles de sécurité plus complets.
Le 9 mai, LayerZero a publié des excuses, reconnaissant avoir mal géré ses communications au cours des trois dernières semaines, affirmant qu'il aurait fallu expliquer la situation plus directement plutôt que de privilégier la finalisation d'un rapport d'analyse post-incident.
LayerZero a souligné que le protocole lui-même n'avait pas été affecté, mais que les sources de données RPC internes utilisées par le DVN (Decentralized Verifier Network) de LayerZero Labs avaient été compromises, tandis que des fournisseurs RPC externes subissaient des attaques DDoS. Autoriser le DVN de Labs à servir des transactions à haute valeur avec une configuration 1/1 était une grave erreur. L'entreprise publiera bientôt un rapport d'analyse post-incident officiel en collaboration avec des partenaires de sécurité externes.
