Arbitrum gèle 71 millions de dollars en ETH issus du hack Kelp : le débat sur la centralisation s’intensifie

Le Security Council d’Arbitrum a gelé 30 766 ETH, d’une valeur d’environ 71 millions de dollars, le 20 avril à 23h26 (heure de l’Est), transférant les fonds liés à l’attaque du pont Kelp DAO dans un portefeuille intermédiaire, inaccessible sans un vote de gouvernance complet. Neuf des douze membres du conseil ont approuvé cette action d’urgence après consultation des autorités sur l’identité du hackeur.

Ce gel représente environ 25 % des 292 millions de dollars volés lors du piratage du pont cross-chain de Kelp le 18 avril, ce qui en fait l’une des interventions les plus rapides et majeures de l’histoire de la DeFi. Suite à cette annonce, le cours d’ARB a progressé de 3,24 %, et les principaux protocoles DeFi ont largement soutenu la démarche. Toutefois, en dehors de ce cercle restreint, la réaction reste très divisée. Certains y voient la preuve que les réseaux Layer 2 sont centralisés, tandis que d’autres considèrent qu’il serait incohérent de laisser partir 71 millions de dollars au nom de la seule décentralisation.

Les deux camps apportent des arguments valides, révélant la véritable tension du débat.

Ce qu’a réellement fait le Security Council

Le Security Council a utilisé sa multisignature d’urgence (9 sur 12) pour exécuter le gel. Selon la constitution d’Arbitrum, une action d’urgence nécessite l’approbation de 9 membres sur 12 et n’est autorisée que si les fonds des utilisateurs sont en danger immédiat. Le conseil a estimé que le hackeur déplaçait activement les ETH volés via Arbitrum One et pouvait les transférer vers d’autres chaînes à tout moment.

Les fonds gelés ont été transférés dans un portefeuille intermédiaire contrôlé par le système de gouvernance. Désormais, toute décision concernant ces fonds requiert un vote complet du DAO Arbitrum, c’est-à-dire que les détenteurs de jetons ARB décideront de leur sort. Le Security Council ne peut pas, de son propre chef, utiliser, rediriger ou restituer ces fonds.

La documentation de gouvernance d’Arbitrum précise cette distinction. Le multisig 9 sur 12 sert aux urgences avec exécution immédiate, tandis qu’un seuil de 7 sur 12 gère les mises à jour courantes avec un délai. Toutes les autres décisions passent par le processus standard de proposition DAO. Le gel relevait clairement de la catégorie urgence, et le conseil a suivi la procédure définie dans le cadre de gouvernance d’Arbitrum.

Comment le piratage de Kelp DAO s’est-il produit ?

L’attaque contre Kelp DAO, le 18 avril, a vidé 116 500 rsETH du pont cross-chain basé sur LayerZero, soit environ 292 millions de dollars et près de 18 % de l’offre en circulation de rsETH. Il s’agit du plus gros piratage DeFi de 2026, causé par une configuration de vérification 1 sur 1 jugée dangereusement simple. Lorsqu’un message cross-chain arrivait via LayerZero, un seul nœud validait l’information avant la libération des fonds. Les attaquants ont compromis deux nœuds RPC alimentant ce validateur, puis lancé une attaque DDoS pour mettre hors ligne les nœuds légitimes, forçant ainsi un basculement vers ceux qu’ils contrôlaient. À partir de là, ils ont injecté de faux messages cross-chain, approuvés sans contrôle par le seul validateur.

LayerZero a attribué l’attaque au Lazarus Group nord-coréen, en particulier à la sous-unité TraderTraitor. Ce groupe est aussi lié à l’attaque du Drift Protocol début avril, portant à plus de 575 millions de dollars les pertes associées à Lazarus sur la DeFi en 18 jours. LayerZero a également pointé la responsabilité de Kelp, qui n’aurait pas suivi les recommandations visant à abandonner l’architecture à validateur unique, déclarant qu’il ne signerait plus aucun message pour des protocoles utilisant cette configuration.

Les rsETH volés ont circulé sur plusieurs chaînes, mais 30 766 ETH se sont retrouvés sur Arbitrum One, permettant au Security Council d’intervenir avant que les fonds ne quittent le réseau.

Les arguments en faveur du gel

Les partisans mettent en avant un argument simple : les fonds ont été volés par un groupe de hackers soutenus par un État, dont les vols de crypto servent à financer des programmes d’armement nord-coréens. Les autorités ayant identifié le hackeur, le Security Council disposait d’un mécanisme constitutionnel pour agir. Ne rien faire aurait équivalu à laisser partir 71 millions de dollars, au nom d’un principe.

Aave, SparkLend et Fluid ont également gelé, quelques heures après l’attaque, les positions liées au rsETH sur leurs plateformes, montrant que l’ensemble de l’écosystème DeFi estimait qu’une intervention était appropriée dans ces circonstances. L’action d’Arbitrum était plus vaste, mais reposait sur la même logique.

L’argument pratique concerne aussi la crédibilité de l’écosystème. Si Arbitrum avait eu la possibilité de geler les fonds volés mais avait choisi de s’abstenir, chaque attaque future véhiculerait le message que la chaîne privilégie la neutralité à la protection des utilisateurs. Pour les acteurs institutionnels qui évaluent les Layer 2, ce facteur compte.

Les arguments contre

Les critiques ne s’opposent pas à la récupération de fonds volés, mais à la possibilité même de geler des fonds, quelle que soit la manière dont ce pouvoir est exercé aujourd’hui.

Charles Guillemet, CTO de Ledger, a décrit le gel comme le reflet d’une réalité structurelle et non comme une entorse aux règles existantes. Selon lui, le gel a mis en lumière une gouvernance que de nombreux utilisateurs ignoraient. Un multisig 9 sur 12 capable de geler n’importe quelle adresse constitue un mécanisme de contrôle centralisé. S’il a servi aujourd’hui à bloquer un hackeur, il pourrait demain viser n’importe qui.

Justin Sun a profité du débat pour promouvoir Tron comme « la blockchain la plus décentralisée », mais la critique de fond est plus sérieuse. Si 9 personnes peuvent modifier l’état d’un réseau détenant des milliards d’actifs, le modèle de confiance diffère de celui attendu par de nombreux utilisateurs d’Arbitrum.

La question du précédent se pose alors. Chaque demande de gel future sera comparée à celle-ci. Que se passe-t-il si le bénéficiaire n’est pas le Lazarus Group mais un protocole DeFi ayant effectué une opération légitime, contestée par d’autres ? Ou si une autorité demande un gel pour des raisons de conformité, et non de vol ? Le pouvoir du conseil n’est pas limité aux cas les plus consensuels.

Ce que cela révèle sur la sécurité des Layer 2

La réalité, c’est que la plupart des grands réseaux Layer 2 fonctionnent avec des structures de gouvernance similaires. Le Security Council 9 sur 12 d’Arbitrum n’est pas une exception ; Optimism utilise un multisig comparable et Base dépend entièrement de l’infrastructure de Coinbase. Tant que ces réseaux n’auront pas achevé leur « décentralisation progressive », les pouvoirs d’urgence centralisés resteront un élément structurel.

Note : Le lien Academy sur les solutions Layer 2 n’existe pas en français, seule l’ancre en gras est conservée pour le SEO.

L’attaque de Kelp a révélé cette réalité à un large public, même si l’information était publique depuis longtemps. La documentation de gouvernance d’Arbitrum décrit explicitement les pouvoirs d’urgence du Security Council et le seuil des 9 sur 12. Mais la plupart des utilisateurs ne consultent ces documents qu’en temps de crise.

Que va-t-il advenir des 71 millions de dollars gelés ?

Les fonds restent dans un portefeuille intermédiaire sous contrôle de la gouvernance. Le DAO Arbitrum devra voter sur la suite à donner : restituer les fonds au Kelp DAO (pour redistribution aux utilisateurs affectés), les conserver en attente d’éventuelles actions judiciaires, ou une combinaison des deux.

Cette décision sera observée de près, car elle servira d’exemple pour les futurs gels. Si le DAO restitue rapidement les fonds, cela validera le cadre d’urgence du Security Council. Si le processus s’enlise, cela remettra en question la capacité de la gouvernance à gérer ce type de situations.

Aucune date n’a été fixée pour le vote. Les propositions de gouvernance d’Arbitrum passent généralement par une période de discussion, un vote snapshot, puis un délai d’exécution sur la blockchain. Pour une telle somme et compte tenu de l’implication des autorités, le calendrier pourrait varier selon la complexité du dossier.

Foire aux questions

Le Security Council d’Arbitrum peut-il geler les fonds de n’importe qui ?

Le conseil a la capacité technique d’exécuter des actions d’urgence, dont le gel d’adresses. Toutefois, la constitution d’Arbitrum limite ces pouvoirs aux situations de risque immédiat pour les fonds des utilisateurs, avec l’approbation de 9 membres sur 12. Les fonds gelés passent ensuite sous contrôle de la gouvernance, qui décide de leur avenir.

Arbitrum est-il vraiment décentralisé si 9 personnes peuvent geler des fonds ?

Arbitrum est en phase de « décentralisation progressive », s’appuyant encore sur un Security Council pour les situations d’urgence tout en transférant progressivement le contrôle au DAO. Les membres du council sont élus par les détenteurs d’ARB, offrant une certaine transparence. Mais la capacité de modifier l’état du réseau via un multisig reste un point de centralisation.

Qui est derrière le hack de Kelp DAO ?

LayerZero attribue le hack de 292 millions de dollars au Lazarus Group nord-coréen, sous-unité TraderTraitor. Ce groupe est aussi lié au piratage de Drift Protocol le 1er avril 2026, portant les pertes attribuées à Lazarus sur la DeFi à plus de 575 millions de dollars en moins de trois semaines.

Quelle part des fonds volés a été récupérée ?

Les 30 766 ETH gelés par le Security Council d’Arbitrum représentent environ 71 millions de dollars, soit 25 % du total. Les fonds restants sont dispersés sur plus de 20 chaînes et n’ont pas été récupérés au 22 avril.

À retenir

Le gel d’Arbitrum a atteint son objectif : empêcher que 71 millions de dollars ne disparaissent dans des portefeuilles nord-coréens, à travers une procédure constitutionnelle, transparente et en dialogue avec les autorités. Les détenteurs d’ARB voteront sur la suite, ce qui reste plus démocratique que la plupart des processus de récupération traditionnels.

Mais le débat sur la centralisation demeure. Chaque réseau Layer 2 doté de pouvoirs d’urgence multisig est confronté à la même tension, et le cas Kelp la rend publique. La confiance à long terme dépendra de la capacité à limiter ces pouvoirs par une décentralisation effective ou une gouvernance solide. Arbitrum progresse sur ce plan, mais n’a pas encore atteint son but.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d’investissement. Le trading de cryptomonnaies comporte des risques significatifs. Veuillez toujours mener vos propres recherches avant toute décision de trading.