Crypto : Le hack de Kelp plonge Aave dans la tourmente

Aave a perdu plus de 6 milliards de dollars de dépôts après le hack de Kelp, et c’est bien cela que le marché crypto sanctionne aujourd’hui. Le protocole n’a pas été piraté directement. Mais il se retrouve avec un risque qu’il n’a pas créé, ce qui suffit à déclencher une fuite brutale des capitaux et une chute du token AAVE. Selon CoinDesk et DefiLlama, la valeur totale verrouillée d’Aave est passée d’environ 26,4 milliards à moins de 20 milliards, pendant que le token reculait autour de 16 %.

Un hack externe qui finit dans les comptes d’Aave

Le point de départ se situe chez Kelp. L’attaque a visé le bridge de rsETH, pas les smart contracts d’Aave. Environ 116 500 rsETH, soit près de 292 millions de dollars, ont été drainés, puis utilisés comme collatéral sur Aave V3 pour emprunter du wrapped ether. C’est là que le problème s’est déplacé.

En clair, Aave n’a pas été “hacké”, mais il a accepté en garantie un actif dont la valeur de soutien a disparu ailleurs. C’est une nuance technique importante. Pour le marché, elle ne change presque rien. Quand le collatéral devient douteux, les déposants cherchent la sortie. Et dans la crypto, cette sortie est souvent immédiate.

Le trou potentiel lié à Aave est estimé autour de 177 à 200 millions de dollars selon les premières évaluations relayées ce week-end. Ce n’est pas un détail comptable. C’est une perte qui touche le cœur du plus grand protocole de prêt de la DeFi, donc un acteur que beaucoup considéraient encore comme une pièce relativement robuste de l’infrastructure crypto.

Le vrai problème n’est pas Kelp, mais le modèle de risque

Cette affaire dépasse le simple fait divers. Elle montre que le risque crypto ne s’arrête jamais au protocole que l’on utilise. Aave a intégré des liquid restaking tokens parce qu’ils rapportent du rendement et qu’ils occupent une place croissante dans l’écosystème Ethereum. Sur le papier, cela semblait cohérent. En pratique, cela a ajouté une dépendance à un maillon externe.

Le problème, c’est que les modèles de risque fonctionnent souvent bien dans un scénario normal. Ils encaissent des variations de prix, des liquidations, parfois même des chocs de volatilité. En revanche, ils gèrent beaucoup moins bien une situation où la garantie perd soudain sa crédibilité à cause d’un bridge compromis sur une autre couche du système. C’est exactement ce que ce cas met en lumière.

Aave reste massivement concentré sur Ethereum. DefiLlama montre qu’Ethereum représente la plus grande part de sa TVL, et CoinDesk souligne aussi que le WETH pèse très lourd dans son livre d’emprunts. Autrement dit, l’attaque n’a pas frappé une poche marginale. Elle a touché l’un des couples de marché les plus sensibles du protocole.

La question n’est plus seulement de savoir ce qui s’est passé. La vraie question est de savoir qui paiera. Aave a d’abord laissé entendre que sa réserve de sécurité, Umbrella, pourrait absorber le choc. Puis le discours a été rendu plus prudent. Ce changement de ton a suffi à installer le doute. Et en finance décentralisée, le doute coûte vite très cher.