Le 18 avril 2026, à 17h35 UTC, un attaquant a forgé un message cross-chain frauduleux sur le protocole LayerZero et vidé 116 500 rsETH du pont de Kelp DAO, soit environ 292 millions de dollars et 18 % de l’offre en circulation du token. L’incident, l’un des plus lourds de l’année sur les infrastructures inter-chaînes, a relancé une question simple pour tout développeur ou trésorier DeFi européen qui doit déplacer des actifs entre Ethereum, Arbitrum, Base ou Optimism : faut-il faire confiance à un réseau de vérificateurs configurable comme LayerZero, ou à un modèle d’intentions optimiste comme Across Protocol ? Cet article compare les deux architectures, leurs coûts réels, leurs failles documentées et leurs cas d’usage, pour aider les équipes techniques à choisir en connaissance de cause avant fin 2026.
LayerZero et Across, deux philosophies opposées du pont cross-chain
LayerZero n’est pas un pont au sens classique du terme. C’est un protocole de messagerie omnichain : il transporte des messages arbitraires entre chaînes, et ce sont les applications construites au-dessus (comme Stargate ou les tokens OFT) qui décident quoi faire de ces messages. La sécurité repose sur des Decentralized Verifier Networks (DVN), des ensembles de vérificateurs off-chain que chaque application configure elle-même. Un projet peut choisir un seul DVN ou en exiger cinq avec un seuil de signature à respecter. C’est justement cette flexibilité qui a joué contre Kelp DAO : le pont rsETH tournait avec une configuration 1-sur-1, un seul vérificateur suffisant à valider un message.
Across Protocol part d’un principe différent, dit “à intentions”. L’utilisateur exprime une intention de transfert, un fournisseur de liquidité avance les fonds sur la chaîne de destination presque instantanément, puis la transaction est soumise à l’oracle optimiste d’UMA. Un délai de contestation (liveness period) s’ouvre : n’importe qui peut déposer une caution pour contester la réclamation si elle semble frauduleuse. Si personne ne conteste, le fournisseur de liquidité est remboursé depuis l’escrow de la chaîne source. La sécurité n’est donc pas cryptographique au sens strict, elle est économique et sociale : il doit rester rentable de dénoncer une fraude.
Cette différence structurelle explique pourquoi les deux protocoles ne se comparent pas terme à terme comme deux wallets matériels. LayerZero est une couche d’infrastructure que des dizaines de projets configurent à leur façon, avec des résultats de sécurité qui varient énormément d’une intégration à l’autre. Across est un produit fini, avec une seule configuration de risque, opérée par une équipe et gouvernée par le token ACX. Pour un développeur français qui doit choisir une brique cross-chain en 2026, cette distinction pèse plus lourd que n’importe quel chiffre de TVL.
Tableau comparatif : spécifications techniques de LayerZero vs Across
Voici les caractéristiques techniques principales des deux architectures, compilées à partir de la documentation officielle et des rapports d’incident disponibles en août 2026.
| Critère | LayerZero | Across Protocol |
|---|---|---|
| Type d’architecture | Protocole de messagerie omnichain générique | Pont à intentions avec règlement optimiste |
| Modèle de vérification | Decentralized Verifier Networks (DVN), seuil configurable par l’application | Oracle optimiste UMA, fenêtre de contestation |
| Mécanisme de règlement | Validation on-chain du message par les DVN désignés | Avance de liquidité par des relayeurs, remboursement après la fenêtre de liveness |
| Chaînes supportées | Dizaines de L1/L2, chiffre exact variable selon les intégrations OApp | 27 chaînes selon les tableaux de bord 2026 |
| Vitesse de transfert perçue par l’utilisateur | Quasi temps réel, limitée par la finalité de la chaîne source et la fenêtre d’observation du DVN | Quasi instantanée côté utilisateur (avance de liquidité), règlement final différé par la fenêtre UMA |
| Audits publics connus | Multiples audits historiques (Zellic, OtterSec et autres selon les versions v1/v2) | OpenZeppelin et ABDK sur les contrats Across, plus les audits historiques d’UMA (dont Trail of Bits) |
| Incident majeur 2026 | Exploit Kelp DAO rsETH, 18 avril 2026, ~292 M$ | Aucun exploit avec perte de fonds documenté à ce jour selon les sources publiques disponibles |
| Cause de l’incident | Configuration DVN 1-sur-1 côté intégrateur + compromission de l’infrastructure RPC, pas un bug du contrat cœur | Non applicable |
| Token de gouvernance | ZRO | ACX |
| Modèle de frais | Frais de message (gas destination) + frais de relayeur/oracle selon la configuration de l’application | Frais du fournisseur de liquidité (LP fee) fonction de la taille et de l’utilisation du pool + gas de règlement |
| Cas d’usage typique | Tokens omnichain (OFT), NFT cross-chain, LST/LRT, applications DeFi natives multi-chaînes | Transferts de stablecoins et d’ETH rapides entre rollups, agrégateurs de routes, wallets |
| Transparence de la configuration | DVN et seuils consultables on-chain par application, mais rarement mis en avant par les intégrateurs | Paramètres de liveness et de bond documentés publiquement par Across/UMA |
Le point le plus frappant du tableau, c’est la ligne “cause de l’incident”. LayerZero, en tant que couche de messagerie, n’a pas subi de faille dans son code cœur lors de l’exploit Kelp DAO. Le problème venait d’un choix d’intégration : un seul vérificateur, sans redondance. Cela signifie qu’un pont utilisant LayerZero peut être aussi sûr qu’Across, ou beaucoup moins sûr, selon la configuration retenue par l’équipe qui l’a déployé. C’est une nuance essentielle que beaucoup d’articles grand public occultent en traitant l’incident comme “un hack de LayerZero”.
L’exploit Kelp DAO en détail : anatomie d’une défaillance de configuration
Reconstituons la chronologie telle qu’elle ressort des rapports d’incident et des analyses forensiques publiées après coup. Le pont rsETH de Kelp DAO utilisait l’adaptateur OFT (Omnichain Fungible Token) de LayerZero pour synchroniser le solde du token entre Ethereum et plusieurs rollups. La configuration retenue par l’équipe exigeait la signature d’un seul DVN, celui opéré par LayerZero Labs, pour valider un message entrant. Aucune redondance, aucun deuxième vérificateur indépendant.
L’attaquant n’a pas exploité une faille cryptographique dans le protocole. Il a compromis l’infrastructure RPC utilisée par ce DVN unique, probablement via une opération d’ingénierie sociale visant un développeur, selon les post-mortems disponibles. Une fois cette infrastructure sous contrôle, il a pu faire signer un message `lzReceive` forgé, sans transaction de burn correspondante sur la chaîne source. Le contrat OFT sur Ethereum, qui ne voyait qu’une seule signature valide requise, a exécuté l’ordre et libéré 116 500 rsETH fantômes, soit environ 292 millions de dollars au cours du moment.
Selon une analyse de Galaxy Digital reprise dans plusieurs synthèses de sécurité, la TVL cumulée des applications connectées à l’écosystème LayerZero est passée d’environ 99,5 milliards de dollars avant l’incident à environ 86,3 milliards de dollars après, soit une contraction de près de 13 milliards liée à la panique de marché et au désengagement de capitaux sur les protocoles perçus comme exposés, bien au-delà des 292 millions directement volés. C’est un rappel que la confiance sur les infrastructures cross-chain est fragile : un incident de configuration chez un seul intégrateur peut faire fuir des capitaux de tout un écosystème pendant des semaines.
Depuis, les recommandations de sécurité de LayerZero et de plusieurs cabinets d’audit convergent : n’importe quelle application critique doit exiger un seuil d’au moins deux DVN indépendants, idéalement trois, avec des opérateurs distincts qui n’ont pas d’infrastructure partagée. Un seuil 2-sur-3 ou 3-sur-5 rend une compromission unique inopérante. Le protocole LayerZero le permettait déjà avant l’incident ; c’est l’usage qui n’a pas suivi la recommandation.
Modèle de sécurité d’Across : l’oracle optimiste d’UMA
Across ne s’appuie pas sur des vérificateurs qui signent des messages en temps réel. Le protocole fonctionne en trois temps. D’abord, un utilisateur dépose des fonds sur la chaîne source et exprime une intention de transfert vers une chaîne cible. Ensuite, un relayeur avance immédiatement les fonds équivalents sur la chaîne de destination, prélevant une commission au passage. Enfin, cette réclamation est soumise à l’oracle optimiste d’UMA, avec une fenêtre de contestation pendant laquelle n’importe quel acteur peut déposer une caution pour dénoncer une fraude. Passé ce délai sans contestation, le relayeur est remboursé depuis l’escrow de la chaîne source.
La sécurité de ce système repose donc sur une incitation économique plutôt que sur une signature cryptographique multi-parties. Tant qu’il reste rentable pour un tiers de surveiller le réseau et de contester une réclamation frauduleuse, le système tient. C’est un pari différent de celui de LayerZero : au lieu de multiplier les vérificateurs techniques, Across mise sur la surveillance communautaire et la dissuasion financière.
Cette architecture explique pourquoi Across affiche, à la connaissance des sources publiques disponibles en août 2026, l’absence d’exploit avec perte de fonds depuis son lancement en novembre 2021. Le protocole a fait l’objet de plusieurs audits, notamment par OpenZeppelin et ABDK Consulting sur les contrats Across eux-mêmes, ainsi que par Trail of Bits sur les contrats UMA dont Across dépend pour son mécanisme de règlement. Le protocole revendique aussi un volume cumulé dépassant 36 milliards de dollars transférés sur 27 chaînes depuis son lancement, pour une TVL affichée bien plus modeste, de l’ordre de quelques dizaines de millions de dollars selon les tableaux de bord agrégateurs consultés mi-2026. Ce ratio volume/TVL élevé illustre le principe même du modèle à intentions : les fonds ne restent pas immobilisés dans le pont, ils circulent vite entre les fournisseurs de liquidité.
Frais et coûts réels : combien coûte un transfert de 1 000 dollars ?
Le prix affiché n’est jamais fixe sur ces deux protocoles, il dépend du couple de chaînes, du niveau de congestion du réseau et de l’actif transféré. Mais la structure des frais diffère fondamentalement, et c’est cette structure qui compte pour budgétiser une intégration.
| Composante de coût | LayerZero (via une app OFT type Stargate) | Across Protocol |
|---|---|---|
| Frais de message de base | Payé dans le token de gas de la chaîne de destination, variable selon la congestion | Non applicable directement, inclus dans le LP fee |
| Commission du prestataire de liquidité | Dépend de l’application construite sur LayerZero (chaque OApp fixe sa propre politique) | LP fee proportionnel à la taille du transfert et à l’utilisation du pool au moment de la demande |
| Frais de vérification (DVN / oracle) | Frais additionnels selon le nombre de DVN configurés et leur politique tarifaire | Coût de règlement optimiste absorbé dans le fonctionnement du protocole, pas facturé séparément à l’utilisateur |
| Gas de destination | À la charge de l’utilisateur ou pris en charge selon l’implémentation de l’OApp | Généralement inclus dans le montant net reçu par l’utilisateur |
| Transparence du devis | Le devis final dépend de l’interface utilisée (Stargate, autre OApp), pas d’un tarif unique LayerZero | Devis affiché en un clic dans l’interface Across avant confirmation |
Pour un lecteur qui veut comparer un coût concret, la meilleure méthode reste de simuler une demande de transfert de 1 000 dollars en USDC entre Ethereum et Arbitrum sur les deux interfaces au même moment, puisque les frais évoluent avec le prix du gas et l’utilisation des pools de liquidité. Ce qu’on peut affirmer sans ambiguïté : LayerZero n’a pas de tarif unique parce que ce n’est pas un produit fini, mais une infrastructure que chaque application configure et facture à sa façon. Across, à l’inverse, affiche un devis unique et transparent avant chaque transaction, ce qui simplifie la budgétisation pour une équipe qui doit prévoir des coûts récurrents de pont.
Tarification et accès : deux modèles économiques différents
Ni LayerZero ni Across ne facturent d’abonnement classique. Les deux fonctionnent en frais à l’usage, mais l’accès au produit diffère nettement.
| Aspect tarifaire | LayerZero | Across Protocol |
|---|---|---|
| Coût d’intégration pour un développeur | Gratuit à intégrer (SDK open, mais configuration DVN à la charge de l’équipe) | Gratuit à intégrer via le SDK ou l’API Across |
| Coût pour l’utilisateur final | Frais de gas + frais de message + marge de l’OApp utilisée | LP fee affiché + gas de règlement, généralement en un seul chiffre net |
| Frais additionnels de sécurité | Coût de chaque DVN supplémentaire configuré (plus de vérificateurs = plus de robustesse mais plus cher) | Aucun frais additionnel visible, le coût de sécurité est intégré au modèle du protocole |
| Token de gouvernance | ZRO, utilisé pour la gouvernance du protocole | ACX, utilisé pour la gouvernance et certains paramètres de risque |
| Modèle de revenu du protocole | Indirect, via les applications construites dessus (Stargate et autres) | Part des frais de pont captée par le protocole et redistribuable selon la gouvernance |
En clair : Across ressemble à un service fini avec une grille de coûts prévisible, quand LayerZero ressemble davantage à un fournisseur d’infrastructure télécom que chaque client configure et facture selon ses propres règles. Cette distinction a un impact direct sur l’estimation budgétaire d’un projet français qui prévoit d’intégrer l’un ou l’autre dans sa feuille de route 2027.
Cinq exemples concrets d’utilisation en 2026
Pour sortir de la théorie, voici cinq cas d’usage réels qui illustrent où chaque protocole excelle ou pose problème.
- Kelp DAO et le token rsETH : cas d’école de ce qu’il ne faut pas faire avec LayerZero. Une configuration DVN 1-sur-1 sur un actif à forte capitalisation a coûté 292 millions de dollars à l’écosystème en une seule transaction le 18 avril 2026.
- Stargate Finance : l’application la plus connue construite sur LayerZero pour le transfert de stablecoins entre chaînes, utilisée par de nombreux agrégateurs de routes cross-chain comme option de secours ou de comparaison de prix.
- Wallets et agrégateurs intégrant Across : plusieurs interfaces de “meilleure route” utilisent Across comme option par défaut pour les transferts rapides d’ETH et de stablecoins entre rollups, en misant sur la vitesse perçue par l’utilisateur plutôt que sur la finalité immédiate.
- Projets NFT omnichain : le standard ONFT de LayerZero permet à une collection de NFT d’exister nativement sur plusieurs chaînes sans pont tiers, un cas d’usage que le modèle à intentions d’Across ne couvre pas directement puisqu’il est pensé pour les actifs fongibles.
- Trésoreries DAO post-Kelp DAO : plusieurs DAO ont revu leurs configurations DVN à la hausse après l’incident d’avril 2026, migrant vers des seuils 2-sur-3 minimum, un ajustement recommandé publiquement par plusieurs cabinets de sécurité suite à l’exploit.
Benchmarks de vitesse et de finalité
La vitesse perçue par l’utilisateur et la finalité économique réelle ne se confondent pas, et c’est là que les deux protocoles divergent le plus nettement dans leur expérience.
Sur LayerZero, un transfert est limité par trois étapes séquentielles : la finalité de la chaîne source, la fenêtre d’observation du ou des DVN configurés, puis l’inclusion du message sur la chaîne de destination. Avec un seul DVN rapide, l’expérience peut sembler quasi instantanée, mais chaque vérificateur supplémentaire ajoute de la latence en échange de la robustesse. C’est un compromis direct entre vitesse et sécurité que chaque application doit arbitrer elle-même.
Sur Across, l’utilisateur reçoit ses fonds côté destination presque immédiatement, dès que le relayeur avance la liquidité, ce qui donne une sensation de vitesse supérieure. Mais la finalité économique complète, celle où le relayeur est effectivement remboursé et où la transaction est considérée comme définitivement réglée, dépend de la fenêtre de liveness de l’oracle UMA, qui peut s’étendre de quelques minutes à plusieurs heures selon la configuration du paramètre de risque retenu pour l’actif concerné. En pratique, l’utilisateur final ne perçoit que la première étape et considère son transfert terminé bien avant le règlement final on-chain.
Un rapport de sécurité largement cité en 2026 évoque une baisse spectaculaire des pertes liées aux exploits de ponts à l’échelle du secteur, passant d’environ 1,4 milliard de dollars en 2022 à environ 84 millions de dollars en 2025, avant que l’incident Kelp DAO ne fasse à lui seul remonter le total 2026 à plusieurs centaines de millions de dollars. Une autre analyse dénombre huit exploits de ponts cross-chain distincts sur les cinq premiers mois de 2026, un rappel que la vitesse ne doit jamais primer sur l’architecture de vérification choisie.
Adoption développeur : où chaque protocole s’est imposé
Un protocole d’infrastructure se juge aussi à qui construit dessus, pas seulement à sa TVL du moment. LayerZero a l’avantage de l’antériorité : lancé en 2021, il a eu plusieurs années pour devenir la brique de messagerie par défaut d’une génération de projets DeFi, NFT et de liquid staking. Stargate Finance en reste la vitrine, mais l’infrastructure sert aussi de socle à des dizaines de tokens émis nativement en multi-chaînes via le standard OFT, ainsi qu’à des collections NFT qui veulent exister sur plusieurs réseaux sans dupliquer leur logique. Cette antériorité a un revers : plus un protocole compte d’intégrations historiques, plus il compte aussi de configurations héritées, parfois définies avant que les bonnes pratiques de seuils multi-DVN ne soient largement diffusées. Kelp DAO en est l’exemple le plus coûteux, mais probablement pas le seul projet à avoir conservé une configuration à un seul vérificateur sans la revoir.
Across a construit son adoption sur un créneau plus étroit mais très concret : devenir la route par défaut des agrégateurs et des wallets qui doivent proposer à leurs utilisateurs le chemin le plus rapide entre deux rollups Ethereum. Son intégration dans plusieurs interfaces de “meilleure route” cross-chain explique pourquoi son volume cumulé dépasse 36 milliards de dollars malgré une TVL propre nettement plus faible que celle des grands pools de liquidité concurrents. Le protocole ne cherche pas à retenir les fonds, il cherche à les faire transiter le plus vite et le moins cher possible, ce qui se traduit directement dans ses métriques d’usage plutôt que dans son bilan de trésorerie.
Pour une équipe qui évalue la maturité d’un écosystème avant de s’y engager, la bonne question n’est pas “combien de projets utilisent ce protocole”, un chiffre marketing facile à gonfler, mais “combien de ces intégrations ont été auditées après leur mise en production, et sur quel seuil de vérification tournent-elles aujourd’hui”. C’est une information rarement publiée spontanément par les équipes, mais que tout DVN étant consultable on-chain, elle reste vérifiable techniquement pour qui prend le temps de l’interroger avant de router des fonds vers un pont donné.
Ce que disent les statistiques d’exploits de ponts sur la période 2022-2026
Replacé dans la durée, l’exploit Kelp DAO s’inscrit dans une tendance globalement positive mais ponctuée de pics violents. Les pertes agrégées liées aux exploits de ponts cross-chain sont passées d’environ 1,4 milliard de dollars en 2022, année marquée par les hacks Ronin et Wormhole, à environ 84 millions de dollars en 2025 selon les analyses de sécurité les plus citées sur le sujet. Cette baisse de plus de 90 % en trois ans reflète une meilleure maturité des audits, une adoption plus large des architectures multi-vérificateurs, et un secteur globalement plus prudent après plusieurs catastrophes retentissantes.
2026 casse cette trajectoire. Le seul exploit Kelp DAO, à 292 millions de dollars, dépasse à lui seul le total annuel de 2025. Une analyse de sécurité dénombre par ailleurs huit exploits distincts de ponts cross-chain sur les cinq premiers mois de l’année, signe que la baisse structurelle des pertes ne protège pas contre un incident isolé mais massif quand la configuration de sécurité d’un seul pont à forte valeur cède. C’est précisément le scénario que les seuils multi-DVN et les fenêtres de contestation optimiste cherchent à rendre statistiquement improbable, sans jamais l’éliminer complètement : aucune architecture cross-chain, LayerZero comme Across, ne peut se targuer d’un risque nul.
Pour un lecteur européen qui doit arbitrer entre les deux protocoles, la leçon à retenir n’est pas comptable mais méthodologique : la baisse tendancielle des pertes sectorielles ne dispense aucune équipe d’auditer sa propre configuration, puisque la moyenne du secteur ne protège jamais un projet individuel d’un incident spécifique à son architecture.
Guide de migration : passer d’un pont LayerZero mal configuré à un modèle plus robuste
Pour une équipe technique qui gère déjà une intégration LayerZero avec une configuration DVN faible, ou qui hésite entre les deux architectures pour un nouveau projet, voici une démarche en six étapes.
- Auditer la configuration DVN actuelle. Vérifiez on-chain combien de vérificateurs sont exigés pour valider un message sur votre OApp. Un seuil 1-sur-1, comme celui de Kelp DAO avant l’incident, doit être considéré comme une urgence de sécurité.
- Cartographier l’exposition financière. Listez les actifs et les montants qui transitent par le pont concerné. Plus la valeur en jeu est élevée, plus le seuil de vérificateurs indépendants doit être strict.
- Relever le seuil à au moins 2-sur-3. Ajoutez des DVN opérés par des équipes distinctes, sans infrastructure RPC partagée avec le vérificateur historique, pour éliminer le point de défaillance unique observé en avril 2026.
- Évaluer si le cas d’usage justifie un passage à un modèle à intentions. Pour de simples transferts de stablecoins ou d’ETH entre rollups, sans besoin de messagerie applicative complexe, Across peut suffire et simplifie la surface d’attaque en évitant la gestion multi-DVN.
- Conserver LayerZero pour les cas qui l’exigent réellement. Tokens omnichain natifs (OFT), NFT cross-chain (ONFT) ou logique applicative personnalisée entre chaînes restent hors du périmètre d’Across, qui n’est pas conçu comme une couche de messagerie générique.
- Documenter et auditer avant tout déploiement en production. Faites vérifier la nouvelle configuration par un cabinet indépendant, au même titre que le code des contrats, puisque l’incident Kelp DAO a prouvé que la configuration compte autant que le code.
Cette migration n’est pas binaire : de nombreuses équipes conservent les deux protocoles en parallèle, LayerZero pour la messagerie applicative avancée et Across pour les transferts rapides de liquidité, en fonction du besoin précis de chaque flux.
Avantages et inconvénients de LayerZero
Avantages : flexibilité maximale grâce à la messagerie générique, permet de construire des tokens omnichain natifs et des NFT cross-chain, écosystème d’applications déjà large avec des projets établis comme Stargate, configuration de sécurité entièrement personnalisable selon le niveau de risque accepté par chaque équipe.
Inconvénients : la sécurité dépend entièrement du choix de configuration DVN fait par chaque intégrateur, ce qui a directement causé l’exploit de 292 millions de dollars chez Kelp DAO, pas de tarif unique donc difficile à budgétiser à l’avance, complexité technique plus élevée pour une équipe qui découvre le protocole, absence de garde-fou par défaut contre une configuration trop permissive.
Avantages et inconvénients d’Across Protocol
Avantages : aucun exploit avec perte de fonds documenté publiquement depuis son lancement fin 2021, devis de frais transparent et affiché avant chaque transaction, expérience utilisateur perçue comme rapide grâce à l’avance de liquidité, modèle de sécurité économique éprouvé via l’oracle UMA, couverture de 27 chaînes avec plus de 36 milliards de dollars de volume cumulé.
Inconvénients : conçu pour les transferts d’actifs fongibles, pas pour la messagerie applicative générique ou les NFT cross-chain, la finalité économique réelle est différée par la fenêtre de contestation UMA même si l’utilisateur perçoit une réception instantanée, dépendance à la disponibilité de fournisseurs de liquidité sur chaque route, TVL propre plus modeste que certains concurrents ce qui peut limiter la profondeur sur les très gros transferts.
Cinq recommandations selon votre cas d’usage
- Vous lancez un token qui doit exister nativement sur plusieurs chaînes : LayerZero avec le standard OFT reste la référence, à condition d’exiger un seuil DVN d’au moins 2-sur-3 dès le déploiement.
- Vous construisez un agrégateur ou un wallet qui doit déplacer des stablecoins rapidement entre rollups : Across offre un devis transparent et une expérience utilisateur plus simple à intégrer sans gérer soi-même la configuration des vérificateurs.
- Vous gérez une trésorerie DAO avec des montants significatifs : privilégiez systématiquement une architecture multi-vérificateurs, quel que soit le protocole choisi, et faites auditer la configuration précise avant tout transfert important, à la lumière de ce qui s’est passé chez Kelp DAO.
- Vous développez une collection NFT cross-chain : LayerZero et son standard ONFT restent la seule option pertinente parmi les deux, Across n’étant pas conçu pour ce cas d’usage.
- Vous êtes une petite équipe sans expertise en sécurité cross-chain interne : Across réduit la surface de décision à prendre puisque le modèle de sécurité est fixe et déjà audité, alors que LayerZero exige une expertise réelle en configuration de DVN pour éviter de reproduire l’erreur de Kelp DAO.
Verdict : quel protocole pour 2026-2027 ?
Les chiffres parlent clairs. D’un côté, LayerZero a été associé à un exploit de 292 millions de dollars en avril 2026, causé non pas par un bug du protocole mais par une configuration à un seul vérificateur chez un intégrateur. De l’autre, Across affiche un historique public sans perte de fonds documentée depuis son lancement en novembre 2021, un devis de frais transparent, et plus de 36 milliards de dollars de volume cumulé sur 27 chaînes.
Mais réduire la comparaison à “Across a gagné, LayerZero a perdu” serait trompeur. Les deux protocoles ne répondent pas au même besoin. LayerZero reste la seule option viable pour la messagerie applicative générique, les tokens omnichain natifs et les NFT cross-chain. Across excelle sur un périmètre plus étroit mais critique : le transfert rapide et prévisible d’actifs fongibles entre rollups, sans que l’équipe intégratrice ait à gérer elle-même une architecture de vérificateurs.
Le vrai enseignement de l’exploit Kelp DAO n’est donc pas “évitez LayerZero”, mais “n’utilisez jamais un seul vérificateur pour sécuriser des centaines de millions de dollars d’actifs”. Pour une équipe française ou européenne qui évalue ces deux briques en 2026, la question à poser n’est pas seulement “quel protocole ?” mais “quelle configuration de risque acceptons-nous, et qui va l’auditer avant la mise en production ?”. C’est cette discipline de configuration, plus que le choix du protocole en lui-même, qui a fait la différence entre un transfert de routine et une perte de 292 millions de dollars en une seule transaction.
Implications pour les équipes DeFi basées en France et en Europe
Le règlement européen MiCA impose désormais aux prestataires de services sur crypto-actifs opérant dans l’UE des obligations de gouvernance et de gestion des risques technologiques, y compris pour les dépendances externes comme les ponts cross-chain utilisés dans une architecture applicative. Une équipe française qui construit un produit DeFi ou un service de garde et qui route des fonds via LayerZero ou Across doit être en mesure de documenter le modèle de sécurité retenu, exactement comme elle documenterait un fournisseur cloud ou un prestataire de paiement. Après l’exploit Kelp DAO, plusieurs cabinets de conseil en conformité ont commencé à recommander l’ajout explicite de la configuration DVN dans la documentation de gestion des risques technologiques exigée par les régulateurs, au même titre qu’un plan de continuité d’activité.
Cette exigence favorise mécaniquement les architectures dont le modèle de risque est fixe et déjà documenté publiquement, comme Across avec ses paramètres UMA consultables, plutôt que les architectures configurables comme LayerZero où chaque intégration doit être auditée individuellement pour être opposable à un régulateur ou à un assureur. Ce n’est pas un jugement de valeur sur la sécurité intrinsèque des deux protocoles, mais un constat pratique : plus une configuration est simple à décrire et à prouver, plus elle est simple à faire valider par une équipe conformité qui n’a pas nécessairement une expertise technique en cryptographie des messages inter-chaînes.
Pour les fintechs et les DAO basées en France, en Allemagne ou ailleurs dans l’Union, l’exploit Kelp DAO a aussi eu un effet indirect utile : il a donné un exemple concret et chiffré à présenter aux comités de risque internes pour justifier un budget d’audit dédié à la configuration des ponts cross-chain, un poste de dépense qui restait auparavant difficile à prioriser face à des audits de code plus traditionnels.
Questions fréquentes
LayerZero a-t-il été piraté directement lors de l’exploit Kelp DAO ?
Non. Les rapports d’incident disponibles indiquent que le contrat cœur de LayerZero n’a pas présenté de faille exploitée. Le problème venait de la configuration choisie par Kelp DAO, avec un seul vérificateur (DVN) requis pour valider un message, combinée à une compromission de l’infrastructure RPC de ce vérificateur.
Across Protocol a-t-il déjà subi un piratage avec perte de fonds ?
Selon les sources publiques disponibles en août 2026, aucun exploit avec perte de fonds n’a été documenté sur Across depuis son lancement en novembre 2021. Le protocole a fait l’objet de plusieurs audits, notamment par OpenZeppelin et ABDK.
Qu’est-ce qu’un DVN sur LayerZero ?
Un Decentralized Verifier Network est un ensemble de vérificateurs off-chain chargés d’attester la validité d’un message cross-chain avant qu’il ne soit exécuté sur la chaîne de destination. Chaque application configure elle-même le nombre de DVN requis et le seuil de signatures nécessaire.
Qu’est-ce que la fenêtre de liveness sur Across ?
C’est le délai pendant lequel une réclamation de transfert soumise à l’oracle optimiste d’UMA peut être contestée par un tiers qui dépose une caution. Passé ce délai sans contestation, la réclamation est considérée comme valide et le fournisseur de liquidité est remboursé.
Peut-on utiliser LayerZero et Across en même temps dans un même projet ?
Oui, de nombreuses équipes combinent les deux : LayerZero pour la messagerie applicative avancée ou les tokens omnichain, Across pour les transferts rapides de stablecoins ou d’ETH entre rollups, selon le besoin précis de chaque flux.
Combien coûte un transfert type de 1 000 dollars sur chacun des deux protocoles ?
Le coût varie selon la congestion réseau et le couple de chaînes utilisé. Across affiche un devis unique avant confirmation, incluant le LP fee et le gas de règlement. LayerZero n’a pas de tarif unique car chaque application (comme Stargate) fixe sa propre politique de frais au-dessus du protocole de messagerie.
Quel seuil de vérificateurs faut-il exiger sur LayerZero après l’exploit Kelp DAO ?
Les recommandations de sécurité qui ont suivi l’incident d’avril 2026 convergent vers un minimum de deux DVN indépendants avec un seuil 2-sur-3, idéalement trois DVN opérés par des équipes distinctes sans infrastructure partagée, pour éliminer tout point de défaillance unique.
Across peut-il gérer des NFT ou des tokens omnichain natifs ?
Non. Across est conçu spécifiquement pour le transfert d’actifs fongibles comme les stablecoins et l’ETH. Pour des NFT cross-chain ou des tokens natifs omnichain, LayerZero avec ses standards OFT et ONFT reste la seule option pertinente entre les deux.
Related Coverage
- deBridge vs Wormhole : 15 Secondes contre 15 Minutes [2026]
- MEV Blocker vs Flashbots Protect : 90% vs 43 Md$ [2026]
- Assurance DeFi : 123 M$ Couverts sur 83 Md$ [2026]
- Hack Drift Protocol : 285 M$ volés en 12 min [2026]
- Lightning Network vs Arbitrum : 165 M$ vs 17 Md$ [2026]
- Toutes nos analyses Cryptomonnaie
