Un hacker a identifié un défaut dans le protocole de finance décentralisée (DeFi) de Resupply tôt jeudi, ce qui l'a aidé à siphonner près de 9,6 millions de dollars d'actifs numériques. L'attaquant aurait manipulé les prix des tokens grâce à une vulnérabilité de contrat intelligent.
Selon les analystes de la sécurité blockchain, Resupply, une plateforme de stablecoin DeFi intégrée avec Convex Finance et Yearn Finance, était la principale cible de l'exploitation. L'attaquant a utilisé une tactique complexe de manipulation des prix sur cvcrvUSD, un token lié à Convex, pour tromper le système et obtenir un prêt en utilisant un collatéral pratiquement sans valeur.
Le bug du contrat intelligent conduit à un taux de change zéro
Le point principal de la violation a été trouvé au contrat ResupplyPair, déployé jeudi à l'adresse Ethereum « 0x6e…6bd6″. Le contrat utilisait le prix de cvcrvUSD pour calculer un taux de change interne pour le prêt collatérisé.
Encore un autre protocole de prêt exploité via la manipulation des taux de change sur des marchés à faible liquidité, voire vides !
Plus précisément, les attaquants ont artificiellement gonflé le prix de l'action de #cvcrvUSD grâce à des dons. Le contrat ResupplyPair de @ResupplyFi (https://t.co/yo2N5lScHi, créé il y a environ 2 heures) utilise… https://t.co/MelEYFLr98 pic.twitter.com/2qXC9IiREL
— BlockSec Phalcon (@Phalcon_xyz) 26 juin 2025
L'attaquant a utilisé cette dépendance en gonflant artificiellement le prix du token cvcrvUSD grâce à des transactions de dons coordonnées. Lorsque la valeur du token a grimpé, le prix d'entrée dans le contrat ResupplyPair a explosé.
Cependant, un défaut dans le code du protocole, spécifiquement l'utilisation de la division entière, a conduit le taux de change à arrondir à zéro une fois que le prix a dépassé un seuil mesuré.
Avec le taux de change fixé à zéro, l'attaquant a pu emprunter une énorme quantité de stablecoin natif de Resupply, reUSD, en utilisant seulement 1 wei de cvcrvUSD comme garantie. Les contrôles d'insolvabilité de la plateforme, qui reposent sur ce taux de change, ont été efficacement contournés.
« L'attaquant a manipulé les prix des tokens, déclenchant un bug (taux de change zéro) dans le contrat intelligent de Resupply, leur permettant d'emprunter une énorme somme d'argent pour presque rien », a expliqué Hakan Unal, responsable senior des opérations de sécurité chez la société de risque blockchain Cyvers.
Tornado Cash utilisé pour l'anonymat des transactions
L'activité blockchain montre que le hacker a initialement financé son portefeuille via Tornado Cash, un mélangeur de protocole de confidentialité décentralisé que les criminels utilisent pour cacher l'origine des fonds. Le point d'entrée de l'attaque était une transaction sur Cow Swap impliquant 2 ETH, selon une analyse de la société de sécurité blockchain PeckShield.
Après la violation, ils ont liquidé les actifs volés en convertissant reUSD en stablecoins et en Ethereum via Curve et Uniswap, deux échanges décentralisés.
Les 9,6 millions de dollars de bénéfice ont été répartis sur deux adresses Ethereum distinctes. L'attaquant a utilisé à la fois USDC et Ethereum enveloppé (wETH) pour stocker les produits finaux.
Plus tard dans la journée, Resupply a confirmé la violation et a admis que l'exploitation avait affecté son marché wstUSR. La plateforme a immédiatement suspendu tous les contrats pour éviter d'autres dommages.
« Les utilisateurs devraient éviter les coffres reUSD et retirer des fonds si possible », a conseillé Unal aux investisseurs utilisant le protocole.
Les hacks liés à la crypto en 2025 deviennent répandus
La violation de Resupply s'ajoute à une série de hacks de grande valeur ciblant à la fois la finance décentralisée et les plateformes centralisées. La société d'analyse blockchain Chainalysis rapporte que plus de 2,3 milliards de dollars ont déjà été volés dans des hacks de crypto depuis le début de 2025, un chiffre qui dépasse le total de l'année dernière à la mi-année.
Quelques jours avant l'incident de Resupply, le 18 juin, l'échange de cryptomonnaies basé en Iran Nobitex a subi une violation dévastatrice. Des hackers se sont emparés de plus de 90 millions de dollars d'actifs numériques provenant de plusieurs blockchains, y compris Bitcoin, Ethereum, Dogecoin, Ripple, Solana, Tron et Ton.
Des enquêtes précédentes ont lié des portefeuilles sur Nobitex à des acteurs affiliés au Corps des gardiens de la révolution islamique (IRGC), et à des réseaux liés aux rebelles Houthis au Yémen et aux opérateurs du Hamas.
Le Bureau national de lutte contre le financement du terrorisme (NBCTF) d'Israël a identifié la plateforme comme un conduit pour des fonds vers plusieurs entités sanctionnées. Celles-ci incluent le média pro-Hamas Gaza Now, un prétendu bras de propagande d'al-Qaïda, et les échanges de cryptomonnaies russes sanctionnés Garantex et Bitpapa.
Académie Cryptopolitan : Vous souhaitez faire croître votre argent en 2025 ? Apprenez comment le faire avec DeFi lors de notre prochaine webclass. Réservez votre place