# Exploit Articles associés

Le Centre d'actualités HTX fournit les derniers articles et analyses approfondies sur "Exploit", couvrant les tendances du marché, les mises à jour des projets, les développements technologiques et les politiques réglementaires dans l'industrie crypto.

Exploit d'Allbridge : Les flash loans continuent de hanter la DeFi – 1,65 million de dollars drainés via le pool USDC/USDT

L'Allbridge, un pont inter-chaînes décentralisé, a subi une attaque de 1,65 million de dollars exploitant un prêt flash de 1,12 million d'USDC. L'attaquant a manipulé le ratio du pool USDC/USDT sur Solana, permettant des retraits de liquidités à des taux favorables avant de transférer les fonds vers Ethereum. Le protocole a suspendu Allbridge Core et a conseillé aux fournisseurs de liquidités de retirer leurs fonds, une mesure qui a fait chuter sa valeur totale bloquée (TVL) de 21,61 à 12,78 millions de dollars. Cette attaque démontre que les prêts flash restent une menace pour la finance décentralisée (DeFi), même pour les applications dotées de solides fonctionnalités de sécurité. Elle souligne le besoin d'améliorer la résilience des mécanismes de tarification et la protection des liquidités dans les environnements inter-chaînes, qui attirent des capitaux importants. La reprise d'Allbridge dépend désormais du rétablissement de la confiance des utilisateurs, du renforcement des mesures de sécurité et de la restauration de la TVL.

ambcrypto07/20 08:35

Exploit d'Allbridge : Les flash loans continuent de hanter la DeFi – 1,65 million de dollars drainés via le pool USDC/USDT

ambcrypto07/20 08:35

Allbridge Suspend Son Protocole Principal Après un Piratage par « Flash Loan » de 1,65 Million de Dollars sur Solana

La plateforme inter-chaînes Allbridge Core a suspendu ses opérations suite à une faille de sécurité ayant entraîné la perte de 1,65 million de dollars sur la blockchain Solana. L'attaquant a utilisé une stratégie de *flash loan* empruntant 1,12 million d'USDC sur Kamino pour créer un déséquilibre de prix dans un pool de stablecoins, puis a siphonné la liquidité à des prix faussés pour réaliser un profit. Les fonds volés ont ensuite été transférés vers Ethereum via des pools de confidentialité. Cet incident constitue la deuxième attaque de ce type contre Allbridge Core après un vol de 573 000 dollars sur la BNB Chain en avril 2023. La suspension du pont inter-chaînes provoque des retards opérationnels et réduit la liquidité disponible, ce qui pourrait inciter les utilisateurs à se tourner vers des alternatives. Ces incidents récurrents soulignent les vulnérabilités persistantes des pools de liquidité et des ponts décentralisés, obligeant les investisseurs à revoir leurs stratégies de gestion des risques.

TheNewsCrypto07/20 07:43

Allbridge Suspend Son Protocole Principal Après un Piratage par « Flash Loan » de 1,65 Million de Dollars sur Solana

TheNewsCrypto07/20 07:43

Des prix futurs trompent l'oracle, Ostium vidé de 24 millions de dollars en cinq minutes

Ostium, une plateforme de trading perpétuel sur blockchain, a subi un incident de sécurité de cinq minutes le 15 juillet, entraînant des pertes importantes sur son trésor de liquidités publiques. Les estimations des sociétés de sécurité varient entre 18 et 24 millions de dollars. Selon les analyses préliminaires de Blockaid, Cyvers et autres, l'exploitation n'était pas due à une signature manquante, mais à des données autorisées mais falsifiées. Un relais (PriceUpKeep) habilité aurait soumis un rapport d'oracle signé valide mais contenant des prix datés du futur, créant ainsi de faux profits sur des trades. Le code de vérification du protocole a confirmé la signature autorisée, mais n'a apparemment pas appliqué de contrôles de validité sur les prix ou les horodatages. Ces profits frauduleux ont ensuite été réglés par le trésor OLP (Ostium Liquidity Provider), qui paie les gains des traders sur la chaîne. Les fonds extraits, principalement en USDC, ont été convertis en ETH et une grande partie a été mixée via Tornado Cash. L'équipe d'Ostium a réagi rapidement, suspendant les trades en une heure et collaborant avec les autorités. Cependant, le rapport post-mortem complet, précisant le montant final des pertes et la cause racine (clé compromise, acteur malveillant autorisé, etc.), n'a pas encore été publié. Les correctifs potentiels évoqués incluent l'isolation des signataires, des contrôles de prix stricts et des limites de taux.

marsbit07/17 05:36

Des prix futurs trompent l'oracle, Ostium vidé de 24 millions de dollars en cinq minutes

marsbit07/17 05:36

Summer.fi ferme ses portes après une exploitation – Le DAO Lazy Summer reprend les retraits

Le protocole DeFi Summer.fi annonce sa fermeture après sept ans d'activité, suite à une exploitation qui a drainé 6 millions de dollars le 6 juillet, éliminant ainsi la trésorerie nécessaire à sa reconstruction. La plateforme, qui avait connu une croissance rapide avec jusqu'à 200 millions de dollars de fonds bloqués, a vu la confiance des utilisateurs s'effondrer après l'attaque. L'activité et les nouveaux dépôts ont fortement diminué. Bien que l'application reste accessible jusqu'au 31 août, l'incident souligne qu'une croissance rapide ne suffit pas sans une sécurité robuste dans le secteur DeFi. La DAO Lazy Summer travaille actuellement à rétablir les retraits pour les utilisateurs affectés, mais reconstruire la confiance s'annonce plus difficile que de restaurer les fonctionnalités techniques. Cette fermeture renforce les préoccupations croissantes concernant la sécurité des protocoles DeFi.

ambcrypto07/16 16:05

Summer.fi ferme ses portes après une exploitation – Le DAO Lazy Summer reprend les retraits

ambcrypto07/16 16:05

Analyse de l'incident Bonzo Lend : comment une vulnérabilité de signature nulle a entraîné une perte de 9 millions de dollars pour le protocole ?

L'emprunteur A a effectué un emprunt de 9,05 millions de dollars sur le protocole de prêt Bonzo Lend, basé sur Hedera, en utilisant seulement 250 tokens SAUCE (d'une valeur de quelques dollars) comme garantie. Ceci a été rendu possible en exploitant une vulnérabilité dans le vérificateur de l'oracle Supra. L'attaquant a soumis une mise à jour de prix frauduleuse pour SAUCE/wHBAR, ampliant sa valeur d'environ 12 ordres de grandeur. La mise à jour contenait une signature de [0,0] et une clé publique correspondant au point à l'infini (zéro). Le contrat de précompilation d'appariement de Hedera a retourné "vrai" pour cette équation mathématique identitaire, et le vérificateur a interprété à tort ce résultat comme une preuve de signature valide de l'oracle. Profitant de ce prix manipulé, le portefeuille A a emprunté 6,63 millions d'USDC et 34,5 millions de wHBAR. Un portefeuille B a également emprunté environ 1 million de dollars pendant la fenêtre d'exploitation, se déclarant comme un "white hat" et ayant l'intention de restituer les fonds. Bonzo a suspendu tous les retraits et les marchés de prêt. Supra a corrigé le vérificateur pour rejeter les entrées nulles. Bonzo est toujours en mode maintenance, déterminant son plan de reprise, et aucun détail sur les indemnisations ou la réouverture n'a été annoncé pour les fournisseurs de liquidités.

marsbit07/14 02:56

Analyse de l'incident Bonzo Lend : comment une vulnérabilité de signature nulle a entraîné une perte de 9 millions de dollars pour le protocole ?

marsbit07/14 02:56

Blockaid retire son alerte d'exploit du pont BTTC après confirmation de l'opération d'arrêt

La société de sécurité blockchain Blockaid a retiré une alerte d'exploit concernant le pont BTTC (BitTorrent Chain) après avoir confirmé que le drainage d'actifs de 13,3 millions de dollars faisait partie d'une opération interne autorisée. L'alerte initiale a été déclenchée mardi lorsque le système de surveillance a détecté une activité suspecte, semblable à un piratage de pont, impliquant environ 7 285 ETH et d'autres jetons. Cependant, Justin Sun, fondateur de Tron, a rapidement clarifié que ces transactions marquaient l'achèvement du "Programme de Mise hors service du Pont BTTC" (BTTC Bridge Sunset Program), un processus de fermeture planifié annoncé dès le 12 juin. Blockaid a donc mis à jour son évaluation, confirmant qu'il s'agissait d'une opération interne et non d'une exploitation. Les fonds des utilisateurs sont restés sécurisés, et les transferts d'actifs croisés se feront désormais via des échanges centralisés partenaires, alors que l'équipe BitTorrent se recentre sur des initiatives d'IA décentralisée.

ambcrypto07/07 20:55

Blockaid retire son alerte d'exploit du pont BTTC après confirmation de l'opération d'arrêt

ambcrypto07/07 20:55

Summer.fi révèle des préparatifs de plusieurs mois derrière une attaque DeFi de 6 millions de dollars

Summer.fi a publié un post-mortem détaillé sur l'exploit de 6,04 millions de dollars qui a drainé deux de ses coffres USDC du Lazy Summer Protocol. L'analyse conclut que l'attaque, planifiée sur plusieurs mois, n'était pas un simple emprunt flash opportuniste. L'attaquant a accumulé des actifs pendant environ trois mois pour manipuler la valeur nette d'inventaire (NAV) de deux coffres. La cause racine était un problème opérationnel lors de la désactivation d'une ancienne stratégie, et non un bogue dans les contrats intelligents. Un "Ark" (un type de stratégie) dont le plafond de dépôt avait été fixé à zéro est resté inclus dans le calcul de la NAV. En y injectant des jetons de coffre Silo surévalués, l'attaquant a artificiellement gonflé la valeur des parts, lui permettant de retirer 6,04 millions d'USDC. Summer.fi précise que l'exploit n'est pas dû à des clés privées compromises, à des privilèges administratifs ou à une faille de code. Tous les coffres du protocole sont actuellement suspendus. La gouvernance doit maintenant décider des mesures à prendre, notamment une éventuelle compensation pour les utilisateurs et les conditions de reprise des activités pour les marchés non affectés.

ambcrypto07/07 17:37

Summer.fi révèle des préparatifs de plusieurs mois derrière une attaque DeFi de 6 millions de dollars

ambcrypto07/07 17:37

« Inciter à la démocratie » au détriment de la sécurité ? À l'intérieur de l'exploit de 20 millions de dollars de Bonk

BonkDAO a été victime d'un piratage de 20 millions de dollars, causé par une "proposition de gouvernance malveillante". L'attaquant a acquis suffisamment de BONK pour créer une proposition, profitant d'un seuil de vote communautaire de seulement 1% pour transférer frauduleusement 4,4 billions de BONK du trésor. Des analystes de sécurité critiquent cette configuration, soulignant l'absence de périodes de verrouillage ou de validations multiples pour les transferts directs. La chercheuse Taylor Monahan dénonce le modèle DAO qui, selon elle, sacrifie la sécurité pour "inciter à la démocratie". Suite à l'exploit, le prix du memecoin BONK a chuté de 10%. Cependant, les données on-chain indiquent que les portefeuilles de baleines continuent d'accumuler des tokens depuis juin, ce qui pourrait aider à maintenir le niveau de prix actuel si la demande persiste.

ambcrypto07/07 10:05

« Inciter à la démocratie » au détriment de la sécurité ? À l'intérieur de l'exploit de 20 millions de dollars de Bonk

ambcrypto07/07 10:05

Pourquoi les 14 336 transferts d'ETH du hacker d'UXLINK soulèvent de nouvelles questions pour la DeFi

L'exploitant de UXLINK, responsable d'un piratage survenu en septembre 2025, continue de blanchir les fonds volés, selon de récentes activités on-chain. L'attaquant a échangé des millions de DAI restants pour environ 6 000,8 ETH, avant de déposer au total 14 336,6 ETH dans le mélangeur Tornado Cash au cours des deux dernières semaines. Parallèlement, un portefeuille lié à l'ancien système présumé de Ponzi Mining Express a converti 5 004 ETH pour 8,8 millions de DAI, puis a acheminé une partie de ces actifs vers Tornado Cash. Ces cas mettent en lumière une faille significative dans l'écosystème DeFi : bien qu'il permette des transferts d'actifs sans permission, il manque encore de mécanismes efficaces pour empêcher ou traiter les flux de fonds illicites une fois qu'ils sont en mouvement. Pour protéger la décentralisation et la vie privée, les protocoles doivent renforcer la coordination inter-réseaux et mettre en œuvre une détection des menaces en temps réel.

ambcrypto07/05 10:04

Pourquoi les 14 336 transferts d'ETH du hacker d'UXLINK soulèvent de nouvelles questions pour la DeFi

ambcrypto07/05 10:04

Comment la faille du contrat intelligent du protocole Hinkal a déclenché une exploitation de 820 000 $ en USDC

L'exploit du protocole de confidentialité pour stablecoins Hinkal a entraîné la perte d'environ 820 000 dollars en USDC. L'attaque, survenue à cause d'une faille dans un contrat intelligent, a permis à un pirate de contourner les sécurités en manipulant la fonction `prooflessDeposit()` puis en effectuant une série d'appels à la fonction `transact()` pour retirer des fonds qui n'auraient pas dû être accessibles. Cet incident souligne la menace persistante des vulnérabilités de code dans la finance décentralisée (DeFi). Il s'inscrit dans une augmentation générale des exploits en 2026, avec notamment un piratage de bot MEV à 7,5 millions de dollars en juin et une attaque par flash loan sur Edel Finance à 403 000 dollars. Cependant, malgré la hausse du nombre d'incidents, les pertes totales du premier semestre 2026 s'élèvent à 948,13 millions de dollars, soit moins de la moitié du montant volé sur la même période en 2025.

ambcrypto07/04 13:04

Comment la faille du contrat intelligent du protocole Hinkal a déclenché une exploitation de 820 000 $ en USDC