Points clés
- Aave a perdu 8,45 Md$ de dépôts en 48 heures après l’exploit Kelp DAO du 19 avril 2026.
- Le TVL DeFi global a fondu de 13,21 Md$, soit le pire recul hebdomadaire depuis le printemps 2022.
- Neuf protocoles majeurs ont dû geler leurs marchés rsETH en urgence.
- La composabilité, longtemps vendue comme un atout, transforme chaque faille isolée en contagion.
- Sans séparation des risques par collatéral, les prochains cycles passeront par des haircuts imposés aux utilisateurs.
Une chute à 8,45 milliards n’est pas un accident, c’est un aveu
Aave a perdu 8,45 milliards de dollars de dépôts en 48 heures après l’exploit de Kelp DAO. Un protocole qui se veut la banque centrale du DeFi n’absorbe pas ce choc en silence : il le paie cash. Et ce n’est pas la première fois.
Constat : la composabilité s’est retournée contre ses créateurs
Kelp DAO s’est fait drainer 116 500 rsETH le 19 avril 2026, soit 292 millions de dollars, via une faille de validation du bridge LayerZero. En quelques heures, l’attaquant a déposé le rsETH volé comme collatéral sur Aave pour emprunter plus de 200 millions de dollars en wrapped ether selon CoinDesk.
Aave, Compound, Fluid, SparkLend et Euler ont dû geler leurs marchés rsETH en urgence. Les positions exposées atteignaient environ 236 millions de dollars. Mais la panique a dépassé le seul rsETH : les utilisateurs ont retiré massivement, par précaution, tous les collatéraux à base de restaking liquide. Le TVL global du DeFi a perdu 13,21 milliards de dollars en 48 heures selon DefiLlama.
Thèse : la composabilité a cessé d’être un atout
On a vendu la composabilité aux utilisateurs comme la supériorité morale du DeFi. On leur a dit qu’elle les rendait libres, efficaces, meilleurs que la finance traditionnelle. La vérité en avril 2026 est plus sèche : la composabilité concentre les risques au lieu de les diluer. Et Aave, le plus exposé des prêteurs on-chain, en paie l’addition.
Arguments : trois raisons de ne plus s’extasier
1. Chaque brique empilée est un cygne noir supplémentaire
Le rsETH de Kelp n’est pas une simple crypto. C’est une position de staking sur Ethereum, redéposée sur EigenLayer, bridgée via LayerZero, puis utilisée comme collatéral sur Aave. Quatre couches de protocoles, quatre couches de bugs possibles. Il a suffi qu’une validation cross-chain saute au mauvais endroit pour que 13 milliards de dollars s’évaporent d’un coup. Les audits ne protègent pas contre l’assemblage : ils protègent chaque brique séparément.
2. Les incitations récompensent la prise de risque, pas la prudence
Sur un prêteur comme Aave, plus un jeton est exotique et liquide, plus il rapporte. Un détenteur d’ETH classique obtient quelques pourcents. Un détenteur de rsETH, wstETH ou weETH empile restaking, points EigenLayer et emprunts pour viser 12 à 15 % de rendement. Le protocole lui-même a intérêt à lister ces collatéraux car ils attirent du TVL et génèrent des frais. Notre comparatif Lido, Rocket Pool et EigenLayer avait déjà souligné ces arbitrages.
3. La segmentation des risques existe, mais personne ne l’applique
Aave V3 propose depuis 2023 des marchés isolés. Euler V2 va plus loin avec des vaults modulaires. En pratique, la majorité du TVL reste sur le marché principal, où un collatéral compromis contamine tout le livre de prêt. Les gouvernances préfèrent les rendements, les utilisateurs préfèrent la liquidité, et le protocole finit par payer. 8,45 milliards perdus en deux jours, c’est le prix du confort.
Objection : « Le DeFi est antifragile, il apprend »
Les défenseurs de la composabilité répondent que chaque exploit renforce le système : nouveaux audits, nouveaux plafonds, nouveaux mécanismes de pause. C’est vrai, jusqu’à un certain point. Depuis 2020, le DeFi a survécu à Luna, à FTX, à Euler, à Curve. Il revient toujours. Mais la vraie question n’est pas la survie — c’est la distribution des pertes. À chaque cycle, les utilisateurs les moins informés absorbent les haircuts, tandis que les insiders sortent à temps. La croissance du TVL masque la redistribution brutale qui s’opère en arrière-plan.
Appel : exiger la séparation des collatéraux
Le DeFi ne survivra pas à un deuxième exploit de cette ampleur en 2026 sans un changement d’architecture. Les protocoles doivent imposer des marchés isolés pour tout collatéral dérivé de restaking, limiter les paramètres de LTV sur les jetons synthétiques et exiger des audits coordonnés sur toute la chaîne de dépendances. Les utilisateurs doivent lire avant d’emprunter : un taux à 15 % n’existe pas par magie, il existe parce que quelqu’un paie la prime de risque. Cette note de Kelp DAO ne passera pas seule. Elle est une sommation adressée à tout le secteur. Voir aussi notre édito sur la neutralité de Bitcoin pour un contrepoint sur les promesses initiales du secteur.
FAQ
La DeFi est-elle morte après cet exploit ?
Non. Le TVL total reste supérieur à 90 milliards de dollars et les protocoles non exposés au rsETH fonctionnent normalement. Mais la DeFi doit cesser de vendre la composabilité comme un avantage gratuit : chaque couche empilée ajoute une surface d’attaque.
Faut-il éviter tous les jetons de restaking liquide ?
Pas nécessairement. Les protocoles les plus matures publient leurs paramètres de risque, leurs oracles et leurs pauses d’urgence. La question à poser avant d’acheter un wrapped token : combien de couches je traverse avant d’atteindre l’actif sous-jacent ? Si la réponse dépasse deux, la prime de rendement doit être au moins équivalente à celle d’un prêt non collatéralisé.
