Les créanciers liés au terrorisme cherchent à saisir l’ETH de Kelp DAO avant le vote d’Arbitrum

Un tribunal fédéral de New York a compliqué le plan d’Arbitrum DAO visant à indemniser les victimes de l’exploit Kelp DAO du mois dernier, évalué à 292 millions de dollars. Le 1er mai, des avocats de créanciers liés au terrorisme ont signifié à Arbitrum DAO un avis de restriction interdisant au DAO de déplacer 30 766 ETH (≈ 71,1 millions de dollars) que le Conseil de sécurité d’Arbitrum avait gelés le 20 avril, après avoir tracé les fonds vers des adresses contrôlées par l’auteur de l’exploit de Kelp DAO, selon le billet de forum qui a servi à notifier l’avis.

L’avis de restriction et les demandes en justice

L’avis de restriction désigne Arbitrum DAO comme saisie-gagiste (garnishee) et traite l’éther gelé comme un bien dans lequel la Corée du Nord a un intérêt, au motif que les fonds ont été volés par Lazarus pour le compte de Pyongyang. LayerZero a attribué la faille du pont à l’État nord-coréen via le groupe Lazarus sponsorisé par celui-ci, le même collectif lié aux piratages du réseau Ronin en 2022 et de Bybit en 2025.

Les demandeurs ne sont pas des victimes de l’affaire Kelp, mais détiennent plutôt d’anciennes décisions par défaut contre la RPDC qui n’ont pas été exécutées pendant des années. L’action a été déposée par Gerstein Harrow LLP au nom de Han Kim et Yong Seok Kim, des ressortissants américains dont un membre de leur famille, le révérend Kim Dong-shik, a été enlevé en Chine et tué par des agents nord-coréens. Une décision de 2015 du tribunal de district des États-Unis pour le district de Columbia a abouti à un jugement par défaut d’environ 330 millions de dollars contre la RPDC dans cette affaire.

L’avis de restriction regroupe aussi deux jugements supplémentaires non satisfaits contre la Corée du Nord :

• Kaplan v. DPRK : environ 169 millions de dollars, fondé sur un soutien matériel allégué de la RPDC aux attaques de roquettes du Hezbollah contre le nord d’Israël pendant la guerre du Liban de 2006
• Calderon-Cardona v. DPRK : 378 millions de dollars, lié à l’attaque de l’aéroport de Lod en 1972, menée par des membres de l’Armée rouge japonaise, qui a tué 26 personnes, dont 17 pèlerins chrétiens portoricains

La valeur faciale combinée des trois jugements dépasse 877 millions de dollars, plus plus d’une décennie d’intérêts postérieurs au jugement pour les affaires les plus anciennes.

La théorie juridique repose sur le Foreign Sovereign Immunities Act et le Terrorism Risk Insurance Act, qui permettent ensemble aux créanciers titulaires d’un jugement contre un État sponsor du terrorisme de saisir des biens détenus par le régime ou ses entités et organismes. L’avis désigne APT-38 et le groupe Lazarus comme entités de la RPDC.

La proposition DeFi United recueille un fort soutien

Arbitrum DAO a ouvert, le 30 avril, un test de température Snapshot sur une proposition rédigée par Aave Labs, avec comme co-auteurs Kelp DAO, LayerZero, EtherFi et Compound, visant à envoyer l’ETH gelé à DeFi United, un fonds de secours inter-protocoles organisé après l’attaque. Le vote se termine le 7 mai.

La proposition dirigerait les fonds vers un Gnosis Safe 3-sur-4 co-signé par Aave, Kelp DAO, EtherFi et la société de sécurité onchain Certora, désigné uniquement pour recevoir l’ETH récupéré et l’appliquer à la restauration du soutien économique de rsETH. À l’heure de publication, plus de 99 % des votes sont actuellement en faveur de la proposition.

La proposition d’Aave inclut aussi une clause d’indemnisation sans plafond de la part d’Aave Labs couvrant la Arbitrum Foundation, Offchain Labs et les membres individuels du Security Council pour toute demande découlant du gel ou de la levée. La question de savoir si cette indemnisation privée aurait une quelconque portée face à un avis de restriction en cours semble ouverte.

Critiques de la communauté et questions juridiques

Le traqueur de blockchain ZachXBT a critiqué la stratégie des demandeurs sur les réseaux sociaux, en déclarant : « C’est un cabinet d’avocats américain prédateur avec une stratégie purement maléfique. À chaque fois qu’il y a une nouvelle victime du groupe Lazarus après un exploit et que des actifs crypto sont gelés. Ces clowns arrivent en disant qu’ils ont une demande pour une victime présumée de la RPDC datant d’il y a 26 ans, sans aucun lien avec la crypto ou les exploits/attaques. On dirait qu’ils ont tenté ça pour Harmony, Bybit, etc […] Tout ce qu’ils ont fait, c’est lire mes posts après que j’ai fait la partie difficile en rassemblant des preuves pour soutenir le gel. »

Un contributeur de Yearn, banteg, a soutenu dans un billet séparé que le DAO aurait le droit d’ignorer l’ordre purement et simplement, puisque les fonds ont une origine claire liée aux victimes du piratage de Kelp et LayerZero. Il a exhorté Aave et les autres parties qui rédigent des propositions de récupération à « sauter tous les multisigs intermédiaires et à transférer les fonds directement vers les contrats de récupération », en contournant la pression potentielle sur les signataires individuels.

Gerstein Harrow a déjà mené des versions de cette stratégie auparavant. Le cabinet a soutenu, dans des contentieux antérieurs, que les DAOs devraient être traitées comme des associations non constituées en société, dont les membres individuels peuvent être tenus responsables du comportement de l’entité, et au moins un juge fédéral a autorisé des demandes à se poursuivre sur cette base.

La position juridique laisse deux questions ouvertes pour la base de délégués d’Arbitrum dans les quatre prochains jours. La première est de savoir si les détenteurs d’ARB qui votent « oui » à la proposition DeFi United peuvent en réalité être tenus personnellement responsables de tout transfert ultérieur. La seconde est une question de précédent : dans un scénario de récupération où la crypto volée est traçable à la fois aux victimes immédiates de l’exploit et à un sponsor d’État sanctionné disposant de jugements antérieurs non satisfaits, quels créanciers disposent de la meilleure demande.