En Bref
- L’exploitation de SwapNet entraîne un drain de 16,8 millions de dollars après que les utilisateurs ont désactivé les protections d’autorisation unique.
- L’attaquant a échangé 10,5 millions de USDC contre de l’ETH sur Base avant de le transférer vers Ethereum.
- Matcha Meta désactive les contrats affectés alors que des cabinets de sécurité signalent des risques plus larges dans la DeFi.
Une faille de sécurité liée à SwapNet a entraîné une perte d’environ 16,8 millions de dollars, affectant les utilisateurs interagissant via Matcha Meta. L’incident a principalement concerné les utilisateurs ayant désactivé les autorisations uniques, exposant ainsi des permissions de jetons persistantes.
La société de sécurité blockchain PeckShieldAlert a identifié l’exploitation et tracé les mouvements initiaux des fonds. L’attaquant a ciblé les contrats de routeur SwapNet qui conservaient des autorisations illimitées provenant des portefeuilles des utilisateurs affectés.
Sur le réseau Base, l’attaquant a échangé environ 10,5 millions de dollars en USDC contre environ 3 655 ETH. Peu de temps après, l’attaquant a commencé à transférer les actifs convertis vers le réseau principal Ethereum pour compliquer le suivi.
SwapNet fonctionne comme un routeur de liquidité utilisé par Matcha Meta pour obtenir des prix et une liquidité profonde. L’exploitation a impliqué l’abus des autorisations existantes plutôt que la violation des clés privées ou de l’infrastructure principale.
Matcha Meta, développé par l’équipe 0x, a confirmé le problème et a immédiatement désactivé les contrats SwapNet affectés. La plateforme a également supprimé l’option permettant aux utilisateurs d’accorder des autorisations directes à des agrégateurs tiers.
L’enquête s’élargit alors que des cabinets de sécurité signalent des risques plus importants
Une analyse plus approfondie a suggéré que l’exploitation provenait d’une vulnérabilité d’appel arbitraire dans les contrats SwapNet. Ce défaut permettait aux attaquants de transférer des jetons approuvés sans demander de nouvelles permissions.
La société de sécurité BlockSec a rapporté que plusieurs contrats sur différentes chaînes ont subi des pertes dépassant 17 millions de dollars. Les réseaux affectés comprenaient Ethereum, Arbitrum, Base et BNB Chain, ce qui augmente la portée de l’incident.
Par ailleurs, CertiK a estimé que près de 13,3 millions de dollars en USDC avaient été volés dans le cadre d’activités connexes.
Certains contrats impliqués restaient en source fermée et non vérifiés lors du déploiement.
Matcha Meta a ensuite confirmé que les contrats principaux 0x n’étaient pas affectés par l’incident.
Les utilisateurs s’appuyant sur des autorisations d’un seul coup via l’infrastructure 0x sont restés indemnes.
L’incident a relancé la vigilance concernant les autorisations persistantes de jetons dans la finance décentralisée.
Les permissions illimitées offrent de la commodité mais augmentent l’exposition en cas de défaillance des contrats intelligents.
Par ailleurs, l’enquêteur on-chain ZachXBT a critiqué la réponse tardive de Circle pour geler le reste des USDC. Environ 3 millions de dollars seraient restés à des adresses éligibles au gel pendant la période de réponse.
La faille s’ajoute à une liste croissante de défaillances de sécurité dans la DeFi au début de 2026. Les données du secteur montrent que les fonds cryptographiques volés ont atteint des niveaux record ces dernières années, augmentant la pression sur les pratiques de sécurité des protocoles.
|
| AVERTISSEMENT : Les informations présentes sur ce site sont fournies à titre de commentaire général sur le marché et ne constituent pas un conseil en investissement. Nous vous encourageons à faire vos propres recherches avant d’investir. |
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
Revolut confirme avoir réparé un dysfonctionnement de tarification d’un tiers, BTC a brièvement affiché par erreur 0,02 dollar
Dans un article du 11 mai, Cryptopolitan rapporte qu’un porte-parole de Revolut a confirmé que le problème de mauvaise cotation des cryptomonnaies apparu dans l’application le 8 mai avait été corrigé, et que la cause de la panne était attribuée à un prestataire de services de tarification tierce non divulgué. Revolut indique qu’aucune transaction n’a été exécutée à un prix erroné pendant l’incident et que l’entreprise enquête toujours sur la cause profonde de l’événement. Chronologie de la panne
MarketWhisperIl y a 2h
Le développeur de Wagyu nie une arnaque de type rug pull sur XMR1 et clarifie les retraits via Terminal
D’après Foresight News, le développeur de Wagyu, PerpetualCow, a précisé que les détenteurs du token XMR1 peuvent retirer des fonds via Terminal plutôt que l’interface inter-chaînes historique, réfutant ainsi les récentes allégations de Rug Pull. Le développeur a déclaré qu’aucun utilisateur n’a signalé d’échecs de retrait, et que l’interface de swap indique déjà la méthode de retrait correcte. Des membres de la communauté avaient auparavant exprimé des inquiétudes : Wagyu ressemblerait à un Rug
GateNewsIl y a 3h
Pi Network interdit les principales dApps WorldBanksPi avec 140 000 utilisateurs sans avertissement
D’après Pi Network DEX, le 9 mai 2026, l’équipe principale de Pi Network a retiré WorldBanksPi, une DApp classée en tête dans le Pi Browser comptant plus de 140 000 utilisateurs, sans avertissement préalable ni processus d’appel. Le projet a été identifié comme une opération de type Ponzi utilisant une commercialisation trompeuse de valorisations et des systèmes « dépôt-rémunération » sous la marque Pi Network, en violation des normes de conformité de l’écosystème. Ce retrait s’inscrit dans un n
GateNews05-09 06:31
L’Estonie émet un avertissement aux investisseurs concernant Zondacrypto, accusant des violations des règles MiCA
L’Autorité de supervision financière d’Estonie (FSA) a, le 9 mai, publié un avertissement aux investisseurs concernant la société BB Trade Estonia OÜ (qui opère la plateforme d’échange d’actifs numériques Zondacrypto). L’instance indique que Zondacrypto n’a pas publié sur son site web le livre blanc du token crypto « TeamPL », en violation de l’article 9, paragraphe 1, du cadre de réglementation des marchés des crypto-actifs de l’Union européenne (MiCA). Détails des infractions MiCA et avertisse
MarketWhisper05-09 03:55
La panne du graphique dans l’application de Revolut provoque une « chute brutale » temporaire du prix du Bitcoin, semant la confusion chez les utilisateurs
La plateforme de fintech Revolut a confirmé le 8 mai l’apparition d’un problème technique affectant certaines fonctionnalités liées aux cryptomonnaies. D’après une déclaration du compte officiel d’assistance de Revolut sur X, les ingénieurs enquêtent activement sur la cause première. Auparavant, l’application de Revolut avait brièvement affiché un graphique indiquant que Bitcoin était descendu jusqu’à 0,019916 dollar, et certains utilisateurs ont reçu en même temps une notification push indiquant que le BTC avait atteint son plus bas sur 52 semaines. L’incident a duré quelques secondes avant de revenir à la normale.
MarketWhisper05-09 01:09
La plateforme européenne d'échange de cryptomonnaies Zondacrypto fait faillite, le PDG se cache à Dubaï au milieu de pertes de clients de plus de 100 millions de dollars
Selon les médias polonais Onet Wiadomości, Zondacrypto, une bourse européenne de crypto récemment effondrée, a laissé des clients avec des pertes dépassant 100 millions de dollars. Le PDG de l’échange, Przemysław Kral, et l’opérateur réel, un homme connu sous le nom de « Maniek », seraient en train de se cacher à Dubaï. Kral avait été
GateNews05-09 01:01
