Un hacker s’infiltre dans un protocole DeFi : 9,6 millions de dollars évaporés en exploitant une faille critique

La finance décentralisée tremble encore. Un attaquant vient de siphonner 9,6 millions de dollars en exploitant une vulnérabilité dans un mécanisme de réapprovisionnement DeFi - preuve que même les smart contracts les plus audités ont leurs failles.

Le hack rappelle cruellement que dans la DeFi, les rendements astronomiques s'accompagnent de risques tout aussi cosmiques. Les victimes? Des investisseurs qui croyaient à la promesse d'une finance 'sans intermédiaires'... mais pas sans pirates.

Alors que le protocole touché tente de colmater la brèche, la communauté s'interroge : quand l'écosystème arrêtera-t-il de servir de terrain de jeu aux chasseurs de bugs malveillants ? En attendant, les fonds volés ont déjà commencé leur voyage à travers le labyrinthe des mixeurs cryptos - bon courage pour le tracing.

Smart ContracT Bug conduit à un taux de change zéro

Le point principal de la violation a été trouvé au REPUpplypair Con trac T, déployé jeudi à l'adresse Ethereum « 0x6e… 6BD6 ″ . Le Con trac T a utilisé le prix de CVCRVUSD pour calculer un taux de change interne pour les prêts garantis.

Encore un autre protocole de prêt exploité via la manipulation du taux de change sur la faible liquidité, même vide - les markets!

Plus précisément, les attaquants ont artificiellement gonflé #CVCRVUSD par le biais de dons. @ Resupplyfi's ResupplyPair Con trac t ( https://t.co/yo2n5lschi , créé ~ 2h il y a) utilise… https://t.co/meleyflr98 pic.twitter.com/2qxc9iirel

- Blocksec Phalcon (@phalcon_xyz) 26 juin 2025

L'attaquant a utilisé cette dépendance en gonflant artificiellement le prix du jeton CVCRVUSD grâce à des transactions de don coordonnées. Lorsque la valeur du jeton a augmenté, l'entrée de prix dans le contrat de réapprovisionnement atracen flèche. 

Cependant, une faille dans le code du protocole, en particulier l'utilisation de la division de plancher, a fait rouler le taux de change à zéro une fois que le prix passait devant un seuil mesuré.

Avec le taux de change fixé à zéro, l'attaquant a pu emprunter une quantité massive de stablecoin native de Respipply, Reusd, en utilisant seulement 1 wei de cvcrvusd comme garantie. Les contrôles d'insolvabilité de la plate-forme, qui reposent sur ce taux de change, ont été effectivement contournés.

" L'attaquant a manipulé les prix des jetons, déclenchant un bogue (taux de change) dans le conformité intelligent de Respipply trac leur permettant d'emprunter une tonne d'argent pour presque rien ", a expliqué Hakan Unal, les opérations de sécurité supérieures dirigées à la société de risque de blockchain Cyvers.

Tornado Cash utilisé pour l'anonymat de transaction

L'activité de la blockchain montre que le pirate a initialement financé son portefeuille via Tornado Cash, un mélangeur de protocole de confidentialité décentralisé que les criminels utilisent pour cacher l'origine des fonds. Le point d'entrée de l'attaque était une transaction sur le swap de vache impliquant 2 ETH, selon une analyse de la société de sécurité blockchain Peckshield.

Après la brèche, ils ont liquidé les actifs volés en convertissant le Reusd en stablecoins et ethereum par courbe et uniswap, deux échanges décentralisés. 

Le bénéfice de 9,6 millions de dollars a été divisé sur deux adresses Ethereum distinctes. L'attaquant a utilisé à la fois usdc et enveloppé Ethereum (WETH) pour stocker les produits finaux.

Plus tard dans la journée, Repupply a confirmé la violation et a admis que l'exploit avait affecté son marché WSTUSR. La plate-forme a immédiatement interrompu toutes lestracpour éviter d'autres dommages.

« Les utilisateurs doivent éviter les coffres-forts Reusd et retirer des fonds si possible », a conseillé UNAL des investisseurs utilisant le protocole.

Les hacks liés à la crypto en 2025 deviennent rampants

La violation de réapprovisionnement ajoute à une chaîne de hacks de grande valeur ciblant à la fois les finances décentralisées et les plates-formes centralisées. La société judiciaire blockchain Chainalysis rapporte que plus de 2,3 milliards de dollars ont déjà été volés dans des hacks cryptographiques depuis le début de 2025, un chiffre qui dépasse le total de l'année dernière au milieu de l'année.

Quelques jours seulement avant l'incitation à la réapprovisionnement dent le 18 juin, l'échange de crypto-monnaie basé en Iran, Nobitex, a subi une violation dévastatrice. Les pirates ont réussi avec plus de 90 millions de dollars d'actifs numériques de plusieurs blockchains, dont Bitcoin , Ethereum , dogecoin , Ripple , Solana , Tron et Ton.

Des enquêtes antérieures ont lié des portefeuilles sur Nobitex aux acteurs affiliés au Corps de la Garde révolutionnaire islamique (IRGC), et aux réseaux liés aux rebelles houthis au Yémen et aux agents du Hamas.

Le Bureau national pour le financement contre-terroriste (NBCTF) d'Israël adentla plate-forme comme un conduit de fonds à plusieurs entités sanctionnées. Il s'agit notamment du média Pro-Hamas Gaza Now, d'un bras de propagande présumé d'al-Qaïda, et des échanges de crypto-monnaie russes sanctionnés Garantex et Bitpapa. 

Cryptopolitan Academy: Vous voulez développer votre argent en 2025? Apprenez à le faire avec DeFi dans notre prochaine webclass. Enregistrez votre place