Hier, le pont cross-chain de KelpDAO a été piraté, beaucoup de gens disent que AAVE a été volé, mais ce n'est pas tout à fait exact, $AAVE a été affecté aussi.

Voici ce qui s'est passé : l'attaquant a trouvé une faille dans le contrat du pont KelpDAO (utilisant LayerZero), a falsifié un message cross-chain, trompant le contrat en lui faisant croire qu'il s'agissait d'un transfert légitime, puis a créé de toute pièce 116 500 rsETH, près de 300 millions de dollars, ce qui représente 18 % de la circulation de rsETH.
Ensuite, il a déposé ces rsETH fictifs dans AAVE V3 et V4 comme collatéral, empruntant 83 000 WETH réels.
L'oracle d'AAVE ne peut pas distinguer si ces rsETH sont vrais ou faux, car ils existent effectivement sur la chaîne, mais leur fondement est vide.
Le résultat est que ces emprunts ne seront jamais liquidés, car le collatéral lui-même n'est que de l'air.
AAVE a subi une perte de près de 200 millions de dollars, le prix des tokens a chuté de 10 %.
Le code d'AAVE n'a pas été compromis, mais cette affaire soulève une question importante : la composabilité de la DeFi est-elle vraiment un avantage ou un risque ?
Peu importe la qualité de votre contrat, tant que le collatéral accepté a un problème, c'est la fin.
La limite de sécurité n'est jamais décidée par vous-même, mais par le maillon le plus faible de la chaîne de confiance.
Du Ronin à Wormhole, puis à KelpDAO, les ponts cross-chain restent le plus grand trou noir de sécurité de la DeFi.
Une autre chose : Anthropic a précédemment annoncé avoir entraîné un modèle appelé Claude Mythos, mais a décidé de ne pas le rendre public.
La raison est que ce modèle peut découvrir et exploiter de manière autonome des vulnérabilités logicielles critiques, et ils ont estimé que le risque d'abus était trop élevé.
En mettant ces deux faits en perspective :
Les vulnérabilités des contrats actuels sont encore trouvées par des humains ou avec l’aide de l’IA actuelle, mais si des modèles d’IA plus puissants apparaissent à l’avenir, la vitesse et l’ampleur de la recherche de vulnérabilités seront totalement différentes.
Les protocoles DeFi verrouillent des centaines de milliards de dollars, et leurs codes de contrats intelligents sont tous publics, ce qui en fait une véritable machine à retirer de l’argent pour les hackers IA.