Cetus sur Sui éventré : 223 millions siphonnés via une faille open source négligée

Une bibliothèque open source oubliée a servi de porte dérobée pour l’un des plus gros hacks DeFi de l’année.

Les pirates ont exploité une vulnérabilité datant de plusieurs mois - preuve que même les protocoles ’audités’ restent vulnérables aux erreurs humaines.

Cerise sur le gâteau : les fonds volés représentaient précisément 223 millions - de quoi faire pleurer les VCs qui misaient sur une ’adoption institutionnelle’ en 2025.

Une attaque chirurgicale via un simple « flash swap »

INCIDENT REPORT

As all of you already know, Cetus recently experienced a smart contract exploit targeting our CLMM pools. Today we are releasing our full incident report to provide transparency into our response, including the root cause, learnings, and next steps.

We… pic.twitter.com/kd2zWeKMt5

Selon le, l’exploit repose sur une erreur de vérification dans la fonction checked_shlw de la librairie inter_mate. Cette fonction devait limiter les entrées à 192 bits, mais validait à tort jusqu’à 256 bits. Résultat : l’attaquant a pu, manipuler les ticks de prix, puis retirer les fonds sur plusieurs itérations. Un contournement propre, rapide, et brutal.

Dès la détection de l’anomalie, les équipes deont désactivé les pools CLMM en moins de 30 minutes. Trop tard :, entraînant une chute des tokens sur Sui. Dans l’heure suivante, les, bloquant 162 millions sur le réseau. Mais près de 60 millions avaient déjà été convertis en usdc et transférés vers Ethereum.

Censure ou protection ? Le débat relancé

Cette décision dea immédiatement ravivé le débat sur la décentralisation réelle de. Certains saluent une réponse rapide pour limiter les dégâts. D’autres dénoncent un précédent dangereux : si un réseau peut geler des fonds aussi vite, qu’est-ce qui garantit la neutralité à long terme ?

Récupérer les fonds : vote on-chain et chasse à l’homme

Cetus a tenté une approche diplomatique. Une proposition de restitution sans poursuites a été envoyée à l’attaquant. Silence radio. En réponse, lepour toute information menant à son identification et arrestation. En parallèle, une proposition de vote on-chain est en cours pour permettre, avec l’accord de la communauté, la.

Audits, bug bounties et monitoring : Cetus veut rassurer

Derrière les coulisses,tente de restaurer la confiance. Audits multi-parties, renforcement du monitoring en temps réel, publication des taux de couverture de test, et: tout est mis en œuvre pour éviter un bis repetita. Len’aura lieu qu’après une validation complète avec les partenaires de sécurité.