# Vulnérabilité Articles associés

Le Centre d'actualités HTX fournit les derniers articles et analyses approfondies sur "Vulnérabilité", couvrant les tendances du marché, les mises à jour des projets, les développements technologiques et les politiques réglementaires dans l'industrie crypto.

Des pirates volent près de 17 millions de dollars en 40 jours, les « contrats zombies » deviennent leur tirelire

Au cours des 40 derniers jours, des attaquants ont dérobé près de 17 millions de dollars sur cinq contrats intelligents abandonnés mais toujours actifs sur la blockchain, selon une analyse de ZeroDrift publiée le 22 juin 2026. Le cas le plus important concerne DxSale, avec environ 7,3 millions de dollars volés. Les autres victimes incluent TrustedVolumes, Huma Finance V1, Raydium Legacy AMM et Aztec Connect. Le problème ne réside pas dans une vulnérabilité unique, mais dans le fait que ces « contrats zombies », bien que désuets et non maintenus, conservent une valeur économique, des autorisations et des fonctions exécutables. Ils constituent donc des cibles faciles. L'analyse souligne que les processus de sécurité DeFi se concentrent souvent sur le lancement, tandis que la gestion de la fin de vie des contrats (retrait des fonds, révocations des autorisations) est négligée. De plus, les outils d'analyse automatisée et l'IA réduisent le coût pour les attaquants de scanner systématiquement ces anciens contrats, amplifiant ainsi les risques. La discipline pour désactiver complètement un contrat, en supprimant toute valeur et tout accès, fait encore défaut.

marsbit06/26 09:15

Des pirates volent près de 17 millions de dollars en 40 jours, les « contrats zombies » deviennent leur tirelire

marsbit06/26 09:15

Personne n'aurait cru que l'audit de sécurité serait la première application concrète de l'IA x Crypto

Les données montrent une baisse significative de la valeur totale verrouillée (TVL) dans la DeFi, tandis que les piratages et les pertes financières augmentent, atteignant environ 942 millions de dollars en 2026. L'émergence d'outils d'IA avancés, comme Claude Mythos, réduit considérablement le coût et l'expertise nécessaires pour identifier les vulnérabilités dans les contrats intelligents, transformant ainsi le paysage de la sécurité. Les attaquants utilisent désormais l'IA pour scanner massivement les contrats, y compris les anciens, rendant les rapports d'audit traditionnels obsolètes en quelques minutes. Des protocoles majeurs comme Drift Protocol et KelpDAO, pourtant audités, ont été compromis via des attaques d'ingénierie sociale ou des failles de configuration, démontrant les limites des audits purement techniques. Face à cette menace, la demande d'audits défensifs augmente, devenant même une condition réglementaire. Les entreprises d'audit doivent évoluer, intégrant l'IA dans leurs processus pour offrir une surveillance continue et une détection en temps réel, plutôt que des rapports ponctuels. Des outils comme Firepan ont déjà prouvé leur efficacité en découvrant des vulnérabilités complexes manquées par les audits humains, comme dans Curve Finance. En conclusion, l'ère de la sécurité garantie par un seul audit est révolue. La sécurité devient une infrastructure nécessitant un investissement constant. Les acteurs qui réussiront à adapter leur modèle commercial et à intégrer pleinement l'IA dans une approche de sécurité proactive survivront à cette transition.

marsbit06/26 07:28

Personne n'aurait cru que l'audit de sécurité serait la première application concrète de l'IA x Crypto

marsbit06/26 07:28

Personne n'aurait pensé que la première application pratique de l'IA x Crypto serait l'audit de sécurité

Les données montrent une baisse de 39% de la valeur totale verrouillée (TVL) dans la finance décentralisée (DeFi) depuis début 2026, parallèlement à une recrudescence des piratages ayant causé des pertes d'environ 9,42 milliards de dollars. L'émergence de l'IA, notamment avec des modèles comme Claude Mythos, bouleverse le secteur de l'audit de sécurité. Les attaquants utilisent désormais des outils d'IA pour identifier des vulnérabilités dans les contrats intelligents à moindre coût et à grande échelle, rendant les anciens rapports d'audit obsolètes en quelques minutes. Des protocoles majeurs comme Drift Protocol et KelpDAO, pourtant audités, ont été compromis via des failles logicielles ou des erreurs de configuration. Cette pression force une adaptation. À court terme, les projets demandent des ré-audits défensifs selon de nouveaux standards. Les auditeurs traditionnels, comme en témoigne la fermeture de Code4rena, doivent évoluer. Ils développent des systèmes d'audit assistés par IA (comme Firepan) qui ont déjà découvert des vulnérabilités critiques manquées par des audits humains, par exemple chez Curve Finance et Zcash. L'avenir de l'audit réside dans une transition d'un service ponctuel vers une surveillance continue, une vérification formelle et une intégration dès la phase de développement. La sécurité devient une infrastructure nécessitant un investissement constant, et seules les entreprises d'audit capables de se réinventer face à l'IA survivront.

链捕手06/26 07:20

Personne n'aurait pensé que la première application pratique de l'IA x Crypto serait l'audit de sécurité

链捕手06/26 07:20

Exploit de portefeuille Cardano : SecondFi retrace l'attaque vers une faille de clé privée, avertit les utilisateurs de ne pas restaurer les phrases de récupération

SecondFi a identifié la cause de l'exploitation récente ayant ciblé des centaines de portefeuilles Cardano. La vulnérabilité provenait d'un défaut de dérivation déterministe du nonce dans son logiciel de signature, permettant à des attaquants de reconstruire mathématiquement les clés privées à partir des données publiques de la blockchain après que les adresses affectées aient signé des transactions. L'attaque, survenue entre les 21 et 23 juin, a drainé environ 16 millions d'ADA (2,4 millions de dollars) depuis 374 portefeuilles. Deux groupes d'attaquants ont été identifiés. SecondFi avertit les utilisateurs concernés de ne pas restaurer leurs phrases de récupération dans un autre portefeuille, car la compromission persiste au niveau de la clé privée. L'entreprise déconseille également de déplacer des fonds ou de retirer des récompenses de staking, ce qui pourrait exposer à nouveau les actifs. Un programme de récupération est en cours. Environ 129 millions d'ADA ont déjà été sécurisés, et un fonds de restauration a été établi pour rembourser les victimes. La plateforme reste en mode maintenance pendant des audits de sécurité externes.

ambcrypto06/25 16:19

Exploit de portefeuille Cardano : SecondFi retrace l'attaque vers une faille de clé privée, avertit les utilisateurs de ne pas restaurer les phrases de récupération

ambcrypto06/25 16:19

Le Bitcoin chute d'environ 5 %, à 59 023,10 dollars, son plus bas niveau depuis octobre 2024. Le retrait de l'armée des petits investisseurs révèle une nouvelle vulnérabilité du marché.

Le Bitcoin a chuté d'environ 5 %, pour s'établir à 59 023,10 dollars, atteignant ainsi son plus bas niveau depuis octobre 2024. Ce recul important met en lumière une nouvelle vulnérabilité du marché, marquée par le retrait des investisseurs particuliers.

华尔街日报06/24 17:53

Le Bitcoin chute d'environ 5 %, à 59 023,10 dollars, son plus bas niveau depuis octobre 2024. Le retrait de l'armée des petits investisseurs révèle une nouvelle vulnérabilité du marché.

华尔街日报06/24 17:53

Exploitation d'un ancien contrat de redevances sur Polygon : 261 000 $ détournés via une faille de logique des récompenses

Un pirate a exploité un ancien contrat de royalties sur Polygon, dérobant environ 261 200 $ en cryptomonnaie. L'attaque, identifiée le 23 juin, a ciblé un programme de royalties obsolète, sans affecter l'infrastructure principale de la blockchain Polygon. La vulnérabilité résidait dans une faille du mécanisme de calcul et de comptabilisation des récompenses. En manipulant des transactions à valeur nulle, l'attaquant a faussé les calculs de propriété et de soldes de jetons, lui permettant de retirer des fonds excessifs. Il a également utilisé un prêt flash pour maximiser son profit. Cet incident s'ajoute à une série d'exploitations récentes ciblant d'anciens contrats DeFi. Les experts rappellent aux développeurs l'importance d'auditer, de mettre à jour ou de désactiver les déploiements anciens pour éviter de tels risques. L'équipe de Polygon a confirmé que la sécurité de son réseau principal n'a pas été compromise.

TheNewsCrypto06/24 13:02

Exploitation d'un ancien contrat de redevances sur Polygon : 261 000 $ détournés via une faille de logique des récompenses

TheNewsCrypto06/24 13:02

« L’IA perce les défenses de la NSA en quelques heures » fait le buzz, la vérité révèle-t-elle un exercice Red Team ?

Une déclaration largement diffusée selon laquelle l'IA Mythos d'Anthropic aurait « piraté en quelques heures la quasi-totalité des systèmes classifiés de la NSA » s'est avérée être une interprétation trompeuse d'un exercice de « red team » autorisé. L'origine remonte à un article de *The Economist* citant le sénateur Mark Warner, qui rapportait les propos du chef de la NSA. Le journaliste Shashank Joshi a par la suite clarifié que cette performance s'était déroulée dans des conditions très spécifiques et contrôlées, où Mythos était utilisé avec d'autres outils pour identifier des vulnérabilités dans un environnement répliqué de la NSA, et non pour une intrusion réelle. Cette démonstration, bien que vertigineuse par sa rapidité, concernait donc un test de sécurité interne. Anthropic limite d'ailleurs l'accès à son modèle avancé Mythos via le « Project Glasswing », une initiative réservée à des partenaires de défense triés sur le volet pour évaluer leurs propres systèmes. La position du gouvernement américain envers Anthropic et Mythos apparaît ambivalente. Alors que le Pentagone a initialement rompu sa collaboration et qu'un décret a brièvement restreint l'accès à certains modèles suite à des craintes de contournement des garde-fous, la NSA continuerait de les utiliser en interne. Cette situation souligne le double enjeu : reconnaître les capacités offensives potentielles de l'IA tout en cherchant à les exploiter pour la cybersécurité nationale. L'épisode met enfin en lumière la difficulté de réguler ces technologies et la rapidité avec laquelle une information contextuelle peut être déformée lorsqu'elle circule.

marsbit06/23 00:58

« L’IA perce les défenses de la NSA en quelques heures » fait le buzz, la vérité révèle-t-elle un exercice Red Team ?

marsbit06/23 00:58

Analyse des Hooks Uniswap v4 : Conception architecturale, vulnérabilités courantes et bonnes pratiques de protection

Depuis le lancement d'Uniswap v4, le mécanisme de Hook est l'une des innovations les plus suivies dans la DeFi, permettant d'attacher des contrats personnalisés aux événements du cycle de vie des pools de liquidité. Cette flexibilité a stimulé la créativité, comme le montre Flaunch pour les lancements de memecoin, Bunni v2 pour la liquidité programmable, et d'autres projets qui ont généré des gains substantiels. Cependant, cette flexibilité s'accompagne de nouveaux risques de sécurité. La sécurité d'un pool v4 dépend désormais entièrement du Hook qui lui est attaché, fragmentant le modèle de sécurité au niveau du pool. L'article analyse l'architecture de v4, centrée sur le PoolManager unique et le modèle de comptabilité "flash accounting" qui impose un solde final des deltas. Il explique comment les permissions d'un Hook sont encodées dans son adresse de déploiement via des bits, une conception contre-intuitive. Des pièges majeurs sont mis en évidence : les contrats Hook doivent implémenter eux-mêmes des contrôles d'accès explicites pour leurs fonctions de rappel, le lien entre un Hook et un pool n'est pas restreint par défaut, et les Hooks asynchrones (ou Custom Curve) remplacent entièrement la logique d'échange d'Uniswap, nécessitant une audit extrêmement rigoureux. L'incident de sécurité du Cork Protocol illustre les nouveaux angles morts en matière d'audit dans ce paradigme, où la complexité des interactions exige une analyse systémique. En résumé, chaque Hook constitue un domaine de confiance indépendant, transformant l'audit de sécurité en une revue complète d'un sous-protocole, ce qui représente un défi méthodologique majeur pour les projets et les auditeurs.

marsbit06/22 08:10

Analyse des Hooks Uniswap v4 : Conception architecturale, vulnérabilités courantes et bonnes pratiques de protection

marsbit06/22 08:10

Chasseur chassé à son tour, le MEV Bot le plus rentable s'est fait pirater

L'acteur majeur du MEV sur Ethereum, Jaredfromsubway.eth, a été victime d'une attaque sophistiquée lui ayant coûté plus de 7,5 millions de dollars. Contrairement aux méthodes habituelles, les attaquants ont déployé pendant des semaines des dizaines de contrats de jetons et de pools de liquidités factices, imitant des actifs comme le WETH pour créer de fausses opportunités d'arbitrage. Le bot MEV, conçu pour exploiter automatiquement ces écarts, a été piégé : il a autorisé un contrat malveillant lors d'une transaction, permettant aux attaquants de vider ses fonds par la suite. Cette "attaque par piège à miel anti-MEV" cible spécifiquement la logique automatisée de ces bots. Jaredfromsubway.eth est l'un des bots MEV les plus actifs et lucratifs, souvent associé aux "attaques en sandwich". Cet incident montre que même les acteurs les plus agressifs de l'écosystème crypto ne sont pas à l'abri de nouvelles menaces complexes. Suite au piratage, un faux compte sur X prétendant être Jaredfromsubway.eth a tenté d'arnaquer les utilisateurs, rappelant la nécessité d'une vigilance constante.

marsbit06/21 09:25

Chasseur chassé à son tour, le MEV Bot le plus rentable s'est fait pirater

marsbit06/21 09:25

Année charnière de l'IA appliquée : Se contenter de dire oui en ignorant les risques ? Le journal de bord du développement logiciel devient open source

L'ère des applications d'IA est là, mais ses risques se cachent dans un code apparemment correct, menaçant de provoquer des fuites de données ou des pertes financières. Le projet open source **Narwhal AI Code Risks**, issu de l'Université de Pékin, compile ces dangers en un journal de navigation pour le développement logiciel. Il catégorise les incidents en trois niveaux : des **cas réels** (comme l'erreur de configuration d'un oracle Moonwell ayant causé une perte de 1,7 million de dollars), des **signaux précoces** à surveiller, et des **scénarios typiques** de risques. Le danger ne réside pas dans un code erroné, mais dans un code syntaxiquement parfait qui introduit des failles sémantiques, des dépendances inexistantes, des permissions excessives ou des configurations cloud vulnérables. Les agents IA, en enchaînant les actions, complexifient encore la traçabilité. Le projet identifie **7 grandes catégories de risques** : la chaîne d'approvisionnement, les vulnérabilités du code, les configurations cloud/infrastructure, les risques liés aux agents, les risques sectoriels (fintech, santé...), la propriété intellectuelle/conformité, et les facteurs humains. L'objectif est de transformer des expériences dispersées en une connaissance réutilisable, aidant les développeurs à anticiper les pièges, les chercheurs à constituer des bases d'analyse et les éditeurs d'outils à renforcer leurs détections. Il s'agit de créer une mémoire collective pour naviguer de manière plus sûre dans l'ère du code généré par l'IA.

marsbit06/16 04:56

Année charnière de l'IA appliquée : Se contenter de dire oui en ignorant les risques ? Le journal de bord du développement logiciel devient open source

marsbit06/16 04:56

活动图片

Catégories populairesright-arrow

Tags tendancesright-arrow

Analyse de marchéright-arrow