Aave a perdu 6,6 Mds$ en 48 heures — comment le premier sauvetage DeFi s'est organisé

Le 18 avril 2026, Lazarus a volé 292 millions de dollars à KelpDAO et a déposé les tokens volés — rsETH, un token de restaking liquide (LRT — un dérivé représentant l'ETH bloqué dans des protocoles comme EigenLayer) — comme garantie sur Aave pour emprunter des actifs réels. Aave a perdu 6,6 milliards de TVL en 48 heures. Le DeFi total a chuté de 13 milliards. Puis, quelque chose d'inédit dans le monde de la crypto s'est produit : sept protocoles concurrents se sont unis pour lever 300 millions de dollars et éviter l'effondrement. C'est ce qu'on appelle DeFi United. Et c'est le premier sauvetage coordonné — ou bailout (injection de capital pour sauver une institution au bord de l'effondrement) — de l'histoire de la finance décentralisée. Avec tout ce que cela implique de positif et d'inconfortable.

Cet article explique comment un hack de bridge a provoqué une ruée bancaire numérique sur Aave, qui sont les sept protocoles qui ont mis l'argent, et pourquoi Bloomberg a comparé cette opération aux sauvetages de Wall Street de 2008.

Comment un hack sur KelpDAO a-t-il provoqué une ruée bancaire sur Aave ?

L'exploit n'a pas attaqué Aave directement — ses contrats n'ont jamais été compromis. Ce qui s'est passé était plus sophistiqué et plus dangereux :

1. Le hack : Lazarus a exploité une vulnérabilité dans le bridge LayerZero de KelpDAO pour frapper 116 500 tokens rsETH (un token de restaking liquide représentant l'ETH déposé sur EigenLayer) sans support réel — des rsETH "fantômes".
2. L'injection de dette : au lieu de vendre les rsETH volés (ce qui aurait fait chuter le prix immédiatement), l'attaquant les a déposés comme garantie sur Aave V3 et a emprunté environ 190 millions de dollars en ETH et WETH réels. Aave a accepté les rsETH car son système les considérait comme légitimes.
3. La ruée : lorsque l'on a découvert que les rsETH n'avaient pas de support, les déposants d'Aave ont paniqué. Si Aave ne pouvait pas récupérer la garantie, la dette irrécouvrable serait socialisée entre les fournisseurs de liquidité. Le TVL d'Aave est passé de 26,4 milliards de dollars à environ 20 milliards de dollars en 48 heures — une chute de 6,6 milliards. Les marchés de WETH ont atteint 100 % d'utilisation : personne ne pouvait retirer.
4. La contagion : le TVL total de DeFi a chuté de 13 milliards — de 99,5 milliards de dollars à 86,3 milliards de dollars. Non seulement Aave : Compound, Morpho et Spark ont connu des retraits massifs par crainte que d'autres tokens de restaking liquide ne rencontrent le même problème.

La dette irrécouvrable estimée sur Aave : entre 124 et 230 millions de dollars, selon la volatilité et la récupération des fonds. Le module de sécurité d'Aave ne disposait que de 56 millions de dollars en WETH — une fraction de ce qui était nécessaire.

Pourquoi Aave est-il "trop grand pour faire faillite" ?

Aave n'est pas seulement un protocole de prêt — c'est la couche de base de liquidité de DeFi. Avant le hack, il gérait 26,4 milliards de dollars de dépôts sur 12 chaînes. Le stETH de Lido est utilisé comme garantie sur Aave. Pendle tokenise les rendements sur les positions Aave. Morpho optimise les taux Aave. Le DAI de MakerDAO utilise des garanties déposées sur Aave. Si Aave s'effondre, la contagion atteint la plupart des principaux protocoles DeFi.

Le module de sécurité d'Aave — sa réserve d'urgence — ne disposait que de 56 millions de dollars en WETH lorsque le hack a injecté entre 124 et 230 millions de dollars de dette irrécouvrable. La différence entre le "module de sécurité" et le "besoin réel" était de 3 à 4 fois. Sans intervention extérieure, Aave aurait socialisé les pertes entre les déposants — provoquant une deuxième vague de retraits et potentiellement la spirale de la mort du protocole.

Qui sont les sept protocoles de DeFi United et combien ont-ils contribué ?

DeFi United n'était pas un ordre gouvernemental ni un mandat réglementaire. C'était une réponse du marché : sept protocoles et contributeurs individuels se sont unis parce qu'ils ont compris que l'effondrement d'Aave — la "couche de base" de liquidité dans DeFi — entraînerait tout l'écosystème.

Au 26 avril, Aave avait levé environ 160 millions de dollars sur les 200 millions nécessaires pour couvrir la dette irrécouvrable. Le Conseil de sécurité d'Arbitrum a également gelé 30 766 ETH (environ 71 millions de dollars) liés à l'attaquant sur son L2 — réduisant le trou que la coalition devait combler.

DeFi United est-il un sauvetage de type Wall Street ?

Bloomberg a titré que ce sauvetage "nuit au discours anti-Wall Street" de DeFi. L'argument : lorsque la crise réelle est arrivée, le secteur a eu recours aux mêmes tactiques que les banques centrales — négociations entre grands acteurs, socialisation du risque, "trop grand pour faire faillite".

Les comparaisons sont inévitables :

La vraie différence : en 2008, personne ne savait où se trouvait la dette toxique avant la faillite de Lehman. Dans DeFi, chaque ETH engagé, chaque vote émis et chaque adresse impliquée est public et auditable. DeFi United n'est pas moins un "sauvetage" que le TARP (le programme de 700 milliards de dollars qui a sauvé les banques américaines en 2008) — mais il est infiniment plus transparent.

Le prêt de Mantle en échange de pouvoir de vote est-il un problème ?

C'est le détail le plus inconfortable de DeFi United. Mantle n'a pas fait don de 30 000 ETH — il les a prêtés sur 3 ans avec intérêts, et en échange a exigé la délégation de 130 000 tokens de gouvernance AAVE. C'est un échange de "liquidité contre pouvoir politique" qui révèle comment fonctionnent les DAOs sous pression :

• Mantle obtient une influence directe sur la gouvernance d'Aave — le plus grand protocole de prêt de DeFi.
• Aave obtient une liquidité urgente sans vendre d'actifs de trésorerie à des prix de panique.
• Les détenteurs d'AAVE voient leur pouvoir de vote dilué par une décision d'urgence qu'ils n'ont pas votée directement.

Ce modèle — des protocoles importants prêtant du capital en échange d'une influence sur la gouvernance d'autres protocoles — pourrait définir l'avenir de DeFi. La centralisation cachée n'est plus seulement technique (validateurs, oracles, séquenceurs). Elle est politique : des blocs de pouvoir interconnectés qui se prêtent de l'argent et des votes pour maintenir l'ordre. Si Mantle accumule des délégations sur Aave, Compound et Lido, il pourrait devenir le "Goldman Sachs de DeFi" — un acteur dont l'influence traverse les protocoles et dont les décisions affectent tout l'écosystème.

Arbitrum gelant 71 M$ est-il de la décentralisation ou de la censure ?

Pendant que DeFi United levait des fonds, le Conseil de sécurité d'Arbitrum — un groupe de 12 personnes dotées de pouvoirs d'urgence — a gelé 30 766 ETH (environ 71 millions de dollars) liés à l'attaquant qui étaient inactifs sur le L2. Cette action a considérablement réduit le déficit que la coalition devait couvrir.

Mais 12 personnes gelant des fonds unilatéralement est exactement ce que DeFi a promis d'éliminer. Les critiques soutiennent que c'est l'antithèse d'un système sans permission. Les défenseurs répondent que, face à une attaque d'un groupe de hackers d'État (Lazarus/Corée du Nord), la capacité d'agir rapidement sauve des centaines de millions.

C'est le même débat qu'avec Sui et Cetus : préférez-vous un réseau qui peut récupérer des fonds volés mais qui peut aussi censurer les vôtres — ou un réseau où personne ne peut intervenir mais les voleurs partent avec votre argent ? Il n'y a pas de réponse universelle. Mais le schéma de 2026 est clair : lorsque l'argent réel est en jeu, l'écosystème choisit l'intervention plutôt que la pureté idéologique.

Comment Aave se rétablit-il techniquement ?

La récupération se fait sur deux fronts : restaurer la liquidité (pour que les déposants reviennent) et absorber la dette irrécouvrable (pour que les rsETH non garantis cessent de contaminer le bilan).

Le multisig de récupération est un Gnosis Safe 2/3 contrôlé par Sharplink (la firme de Lubin), Certora (vérification formelle) et BGD Labs (développeur core d'Aave). Chaque mouvement de fonds est public et auditable on-chain — contrairement aux sauvetages bancaires traditionnels où les termes sont négociés à huis clos.

Marc Zeller, de l'Aave Chan Initiative, a proposé de formaliser DeFi United comme infrastructure permanente : un "Vault DeFi United ETH" où 50 % des revenus d'Aave au-dessus d'un seuil seraient déposés comme fonds de réserve systémique. C'est la tentative de transformer une réponse ad-hoc en une assurance programmatique — quelque chose que les banques centrales ont mis des décennies à construire après 2008.

Quelles leçons DeFi United tire-t-il pour l'investisseur ?

Cinq leçons concrètes :

1. Aave est "trop grand pour faire faillite" — mais cela a un prix. La coalition l'a confirmé : si Aave s'effondre, DeFi s'effondre. Cela protège les déposants mais crée un risque moral — si les protocoles savent qu'ils seront sauvés, pourquoi investir dans la sécurité ?
2. Les tokens de restaking liquide (LRTs) sont le vecteur de risque systémique de 2026. rsETH, eETH, pufETH — tous circulent comme garantie sur les money markets (protocoles où vous déposez un actif et en empruntez un autre). Une défaillance dans l'un d'eux peut injecter une dette irrécouvrable dans Aave, Morpho ou Compound. Le restaking multiplie le rendement et le risque. L'industrie s'oriente vers des limites dynamiques de frappe — restreindre le nombre de nouveaux LRTs qu'un money market peut accepter si le support n'est pas vérifié par plusieurs oracles.
3. La gouvernance fonctionne — mais lentement. De nombreuses contributions de DeFi United sont en attente de vote. Lubin a agi en quelques heures ; les DAOs prennent des jours ou des semaines. Dans une crise qui se mesure en minutes, la vitesse de la gouvernance décentralisée est une réelle limitation.
4. La transparence est le véritable avantage. Chaque ETH de DeFi United est traçable on-chain. Le multisig de récupération (Gnosis Safe 2/3 contrôlé par Sharplink, Certora et BGD Labs) est public. Cela n'existait pas dans le TARP ni dans les sauvetages bancaires européens.
5. Diversifiez entre les protocoles de prêt. Si tout votre capital était sur Aave lorsque l'utilisation a atteint 100 %, vous ne pouviez pas retirer. Distribuer entre Aave, Morpho et Compound n'élimine pas le risque systémique — mais réduit la probabilité de rester bloqué dans un seul protocole. Et vérifiez la composition de la garantie : si le pool où vous déposez accepte des LRTs comme rsETH, votre exposition au risque de bridge est indirecte mais réelle.

Le plus honnête : DeFi United est simultanément la plus grande force et la plus grande faiblesse de DeFi en 2026. Il démontre que l'écosystème peut se coordonner pour sauver son infrastructure — quelque chose qu'aucun autre marché financier ne fait avec cette transparence. Mais il démontre aussi que "le code fait loi" a une limite : lorsque les fonds des utilisateurs sont en jeu, le consensus social remplace le contrat intelligent. DeFi n'a pas éliminé les sauvetages — il les a décentralisés. Et la question qui reste ouverte pour les prochains mois : DeFi United sera-t-il formalisé comme infrastructure permanente avec un coffre-fort de réserve systémique — ou se dissoudra-t-il jusqu'au prochain hack ? La réponse déterminera si DeFi a appris quelque chose de 2008 ou s'il est condamné à le répéter, cette fois avec plus de transparence mais avec la même improvisation.