Aave alerte : retirez vos WETH avant qu'il soit trop tard

Aave vient de lancer une alerte officielle à destination de ses fournisseurs de WETH : retirez vos fonds maintenant. La raison ? Un exploit ciblant le rsETH de KelpDAO a créé une dette irrécouvrable directement dans la pool WETH du protocole DeFi.

Concrètement, la faille exploitée sur le token rsETH de KelpDAO a permis de générer une position insolvable au sein d'Aave. Ce type de dette, dite « bad debt », ne peut pas être liquidée normalement. Elle reste bloquée dans le protocole et dilue mécaniquement les rendements — voire le capital — des autres fournisseurs de liquidité présents dans la même pool.

Aave a réagi rapidement en conseillant publiquement aux utilisateurs exposés de retirer leurs WETH sans attendre. Le protocole précise qu'une résolution définitive est en cours via son mécanisme Umbrella, conçu précisément pour absorber ce type de perte exceptionnelle. Mais tant que cette résolution n'est pas effective, les fonds restants dans la pool restent exposés à un risque de perte partielle.

Umbrella, pour rappel, est le système de sécurité interne d'Aave permettant de couvrir les déficits via des fonds de réserve du protocole. Son activation prend du temps, d'où l'urgence de l'alerte lancée auprès des fournisseurs.

Cet incident met une nouvelle fois en lumière les risques liés aux tokens de liquid restaking comme le rsETH. Ces actifs, dérivés de l'Ethereum staké, sont au cœur de l'écosystème DeFi actuel mais introduisent des couches de complexité et de risque supplémentaires. Une faille dans l'un de ces tokens peut se propager instantanément à tous les protocoles qui l'acceptent comme collatéral.

KelpDAO n'a pas encore communiqué de chiffre précis sur le montant exploité au moment de la rédaction de cet article. Les détails techniques de l'exploit restent également partiels.

Ce qui est certain : Aave a choisi la transparence et la réactivité. L'alerte publique lancée rapidement limite la casse pour les utilisateurs informés. Ceux qui tardent à réagir s'exposent à subir une partie de la socialisation des pertes, un mécanisme courant en DeFi lorsque les réserves d'un protocole sont sollicitées.

Ce que ça change : les tokens de liquid restaking sont devenus un vecteur de risque systémique en DeFi. Accepter du rsETH ou tout autre dérivé complexe comme collatéral sans mécanisme de protection robuste, c'est jouer avec le capital de tous les fournisseurs. Aave a bien géré la communication, mais cet incident devrait accélérer les exigences d'audit et de plafonnement pour ce type d'actif sur tous les grands protocoles.