Rédigé par : Nicky, Foresight News
Le 15 juillet, la plateforme de lancement de jetons vlad.fun sur Robinhood Chain a été victime d'une manipulation malveillante par des développeurs internes le jour même de son lancement. Selon des informations officielles, deux développeurs externes ayant participé à la construction de la plateforme ont secrètement créé leur propre jeton et l'ont intégré en dur (hardcodé) dans le code frontal, ce qui a conduit au fait qu'au démarrage de la plateforme, les utilisateurs ne pouvaient voir que ce jeton, tous les autres jetons de créateurs étant invisibles. L'équipe a détecté l'anomalie en deux heures, puis a licencié les développeurs impliqués et supprimé le code malveillant.
La déclaration officielle souligne que l'équipe n'a jamais convenu d'émettre un jeton de plateforme vlad.fun, les deux individus ayant pris cette décision de leur propre chef pour générer du « trafic ». Après négociations, ils ont restitué environ 15 000 dollars de frais de créateur et les bénéfices des jetons de test, pour un montant total récupéré d'environ 7,8 ETH, qui a été versé dans le portefeuille sécurisé de l'équipe. De plus, les frais de protocole générés lors du lancement de la plateforme, d'environ 4,16 ETH, sont détenus dans une adresse multisignature de l'équipe.
Selon des informations publiques, vlad.fun a été développée en 48 heures par une petite équipe de 5 personnes. À ce jour, deux membres associés au projet ont publié des déclarations, mais les informations spécifiques sur les deux développeurs externes n'ont pas été divulguées au moment de la rédaction. Selon le thread explicatif de l'incident publié par le compte officiel du projet le 18 juillet, les deux développeurs externes étaient responsables de la bibliothèque de code centrale de la plateforme de lancement. Dans le dernier commit de code avant le lancement de la plateforme, ils ont manuellement ajouté une ligne de code en dur dans la partie frontale, forçant l'affichage de leur propre jeton en page d'accueil, tandis que les autres jetons de créateurs étaient complètement masqués en raison de problèmes de chargement.
Peu après le lancement, les utilisateurs ont rapidement remarqué l'anomalie : une seule plateforme entière n'affichant qu'un seul jeton. L'équipe a commencé à examiner le code et a découvert la ligne de code en dur ajoutée manuellement dans l'historique des commits. Lorsqu'ils ont été interrogés par l'équipe, les deux développeurs ont d'abord donné des explications techniques telles que des pannes RPC, des problèmes de variables d'environnement et de cache, mais le fait que le jeton en question restait visible contredisait clairement ce type d'explications.
Selon les informations officielles, l'un des développeurs a ensuite demandé de désactiver la protection des branches du dépôt de code, affirmant avoir besoin de « revenir en arrière sur certains éléments ». Avant de lever la protection, l'équipe a effectué une sauvegarde horodatée de l'ensemble du dépôt et a observé que les deux individus avaient supprimé la ligne de code contenant le hardcode. La déclaration officielle indique que cette tentative de destruction des preuves a finalement révélé leurs intentions. Confrontés aux preuves, les deux développeurs ont admis leurs actes.
Cet incident reflète les risques de confiance auxquels sont confrontés les projets cryptographiques à développement rapide lorsqu'ils font appel à des développeurs externes. L'identité des deux développeurs impliqués n'a pas été rendue publique pour le moment, l'équipe ayant déclaré avoir suivi les conseils de ne pas la divulguer pour l'instant. vlad.fun a indiqué qu'à l'avenir, elle n'autorisera plus les personnes externes à accéder aux systèmes sensibles et préférera développer sur la base de contrats open source.
Selon le site web, vlad.fun est actuellement à l'arrêt, l'équipe déclarant donner la priorité au traitement des questions concernant les utilisateurs affectés.
Après l'incident, un membre de la communauté, Will Mexi, a publiquement clarifié son rôle. Il s'est présenté comme responsable de la gestion des demandes d'adhésion au projet, de l'optimisation du front-end, du design, de la marque et des animations, et non comme l'un des deux développeurs impliqués. Il n'a pas non plus participé à la planification ou à l'exécution de l'opération. Selon ses dires, il a testé la version normale du site environ 20 minutes avant le lancement, il n'a donc pas détecté d'anomalie.
Will Mexi a déclaré qu'après le lancement officiel de la plateforme, il a vu que des jetons étaient déjà apparus de manière illogique. Il a immédiatement examiné le code nouvellement commité et a découvert la ligne de hardcode, puis a rapidement informé l'équipe principale. Il a également déclaré que la mise en place initiale de la protection des branches était justement motivée par la prudence vis-à-vis du code externe, et que ce paramètre a finalement permis de conserver un historique complet des commits et des preuves d'intention. Il a également nié avoir acheté un quelconque jeton de la plateforme et a affirmé avoir subi des pertes en raison des coûts élevés des RPC, des API et du déploiement des serveurs.
Le membre principal de l'équipe @SOLsesame a également exprimé son soutien dans le thread de l'incident. Il fait partie du noyau d'une petite équipe qui collabore depuis plus d'un an avec Will Mexi et d'autres, et n'est pas l'un des développeurs externes impliqués. Son parcours passé montre qu'il est un constructeur actif dans l'écosystème Solana, ayant été profondément impliqué dans l'écosystème ai16z et ses projets PartnersNFT et PartnersDAO. Récemment, en collaboration avec Will Mexi, il a développé et lancé en 24 heures la collection NFT Black Bull pour la communauté ANSEM à partir de zéro.
En tant que plateforme de lancement de jetons sur Robinhood Chain, vlad.fun diffère des plateformes de lancement traditionnelles à courbe de liaison (bonding curve). L'objectif de conception de vlad.fun est de permettre le déploiement d'un jeton et son lancement direct sur Uniswap V3 ou V4 en une seule transaction, le jeton étant instantanément négociable sur les échanges décentralisés, sans passer par l'étape de « graduation » et de migration. La position du pool de liquidités est verrouillée de façon permanente via un contrat de verrouillage (locker) et ne peut pas être retirée par l'équipe, ce qui réduit mécaniquement le risque de rug pull.
En matière de conception de l'équité, la plateforme adopte un mécanisme d'offre fixe, sans prévente, sans allocation importante pour l'équipe, tout en offrant une fonctionnalité optionnelle d'achat prioritaire pour les développeurs, permettant aux développeurs d'acheter sans frais de transaction lors du lancement. Un mécanisme anti-whale limite la détention maximale par portefeuille à 2%, empêchant la concentration des avoirs sur une seule adresse. En ce qui concerne le routage des frais, la plateforme prend en charge la configuration de frais de transaction de 1% à 5%, qui peuvent être acheminés instantanément vers un destinataire désigné, qu'il s'agisse d'une adresse de portefeuille, d'un compte social ou d'un proxy de rachat et de brûlage. Les frais sont verrouillés au moment du lancement et ne peuvent pas être modifiés. De plus, la plateforme a prévu des modes optionnels tels que le staking avec dividendes.
Malgré la mise en pause de vlad.fun en raison d'un incident interne, l'écosystème des plateformes de lancement sur Robinhood Chain ne s'est pas refroidi. Selon les données de DefiLlama, le TVL actuel de cette chaîne est d'environ 258 millions de dollars, avec des frais sur 24 heures d'environ 118 000 dollars et des revenus d'environ 106 000 dollars, dont les dépenses de frais d'Uniswap sur 24 heures s'élèvent à 1,95 million de dollars. Actuellement, plusieurs plateformes de lancement se sont regroupées dans l'écosystème, formant chacune une concurrence différenciée : le nouveau venu PONS occupe la première place des plateformes de lancement grâce à un développement intensif et des mises à jour continues, la capitalisation de son jeton de plateforme étant d'environ 12 millions de dollars, avec une hausse de plus de 4 200% sur les 7 derniers jours. De plus, la plateforme Butterfly se concentre principalement sur les memecoins de type stock-action mais n'a pas encore créé de succès notable. Les jetons aux mécanismes innovants natifs d'Uniswap, comme les jetons de type RWA avec dividendes index, ont quant à eux bénéficié de l'attention officielle et ont atteint une capitalisation de 30 millions de dollars le 17 juillet.
