Quatre protocoles ont été vidés de leurs fonds cette semaine, pour des pertes cumulées de plus de 100 M$. Tous avaient passé des audits.
Protocole $CORE b14g : 97 M$ volés. Un bug de retrait d’un montant nul a été traité comme un retrait total. Le code est resté en production pendant 17 mois sans être détecté.
Troves : 8,57 $WBTC envolés. L’équipe a mis à niveau le contrat de rééquilibrage, mais n’a pas révoqué les autorisations de l’ancien contrat. Une défaillance élémentaire du contrôle d’accès.
Kyan : perte de 450 000 $. La vérification du coffre contrôlait l’origine de la factory, mais pas la liquidité du pool. L’attaquant a exploité un pool vide.
zkLink : 780 000 $ dérobés. L’attaquant a falsifié la racine de Merkle d’un retrait groupé et validé lui-même les preuves. La logique du bridge a été entièrement compromise.
À retenir sur les risques : les certifications d’audit ne signifient rien. Du code peut rester en production pendant des mois avec des failles critiques. Même une gestion élémentaire des autorisations échoue à grande échelle. Si vous détenez des tokens sur des protocoles DeFi récents, vous misez sur les compétences des développeurs, avec un risque de perte disproportionné.
Protocole $CORE b14g : 97 M$ volés. Un bug de retrait d’un montant nul a été traité comme un retrait total. Le code est resté en production pendant 17 mois sans être détecté.
Troves : 8,57 $WBTC envolés. L’équipe a mis à niveau le contrat de rééquilibrage, mais n’a pas révoqué les autorisations de l’ancien contrat. Une défaillance élémentaire du contrôle d’accès.
Kyan : perte de 450 000 $. La vérification du coffre contrôlait l’origine de la factory, mais pas la liquidité du pool. L’attaquant a exploité un pool vide.
zkLink : 780 000 $ dérobés. L’attaquant a falsifié la racine de Merkle d’un retrait groupé et validé lui-même les preuves. La logique du bridge a été entièrement compromise.
À retenir sur les risques : les certifications d’audit ne signifient rien. Du code peut rester en production pendant des mois avec des failles critiques. Même une gestion élémentaire des autorisations échoue à grande échelle. Si vous détenez des tokens sur des protocoles DeFi récents, vous misez sur les compétences des développeurs, avec un risque de perte disproportionné.