🚨 Problème chez Swell avec swETH/rswETH : les jetons n’ont pas été volés directement, c’est le « taux de conversion » qui a été manipulé
Ce matin, le chercheur on-chain Spreek a lancé l’alerte : les clés liées aux administrateurs de swETH et rswETH, deux jetons de staking liquide du Swell DAO, auraient été compromises. Il a lui-même émis des réserves et soupçonne un lien avec l’incident survenu ces derniers jours sur la plateforme cloud Railway, mais rien n’est confirmé pour l’instant.
Voici ce que l’on sait pour le moment :
🔹 L’attaquant fait augmenter la NAV de ces deux jetons (le nombre d’ETH correspondant à chaque jeton), jusqu’à 1 % par heure, sans qu’aucun ETH réel ne vienne la couvrir
🔹 Quatre contrats malveillants de mise à niveau ont été déployés on-chain. Selon Spreek, ils n’ont pas encore franchi le processus de validation multisignature ; s’ils sont exécutés, ils pourraient permettre de siphonner environ 2 500 ETH
🔹 Selon des informations rapportées, Swell aurait indiqué qu’aucun ETH n’avait pour l’instant quitté les contrats
À mon avis, le point auquel les utilisateurs ordinaires devraient surtout prêter attention, c’est cette manipulation du « taux de conversion ».
Le prix des jetons de staking liquide n’est souvent pas fixé par le marché, mais déterminé par le taux communiqué par un oracle. Si ce taux est artificiellement gonflé, quelqu’un peut utiliser des swETH surévalués comme garantie sur un protocole de prêt pour emprunter des actifs bien réels, ou obtenir davantage d’ETH en les échangeant dans un pool. Les victimes pourraient ne pas être Swell lui-même, mais tous les services qui valorisent ces jetons selon ce taux.
Autre point important : la multisignature. Les contrats malveillants ont été déployés, mais sont encore bloqués dans le processus multisignature. C’est précisément à cela que servent les signatures multiples et les délais de verrouillage : si une clé est perdue, il reste une dernière porte de sécurité. En temps normal, peu de gens vérifient si un projet a mis en place un délai de verrouillage ou comment ses signataires sont répartis ; en cas d’incident, cela peut faire toute la différence.
Si vous détenez des swETH/rswETH ou des parts de LP associées :
🔹 Ne vous précipitez pas pour « acheter la baisse » alors que les informations sont confuses : le taux lui-même pourrait être faux
🔹 Vérifiez sur quels protocoles de prêt vous les utilisez comme garantie
🔹 Fiez-vous uniquement aux annonces des comptes officiels de Swell. Après un incident, les liens de « réclamation d’indemnisation » ou de « migration » sont presque toujours des pièges de phishing
Cette semaine, des vulnérabilités PHP à Railway et GitLab, les risques dans l’univers crypto proviennent de plus en plus des infrastructures Web2. Pour les jetons de staking que vous détenez, savez-vous qui publie leur taux de conversion et qui peut le modifier ?
#Swell #流动性质押 #链上安全 #ETH