flashloan

Fatou est trésorière d'une tontine de quartier à Thiès, au Sénégal. Dans sa tontine, le bureau décide qui reçoit la cagnotte, et on ne devient pas membre du bureau en une minute : il faut être connu, cotiser depuis longtemps, et toute décision est annoncée avant d'être appliquée. Le 24 octobre, un projet crypto appelé X100 a appris à ses dépens ce qui arrive quand ces deux règles de bon sens n'existent pas.
📋 Les faits (24 octobre 2026)
• X100 (jeton X, sur Ethereum) confiait la gestion de sa trésorerie à un « Sénat » de seulement 3 sièges. Les sièges revenaient à ceux qui bloquaient le plus de jetons X dans le coffre du projet, appelé le « Freezer ».
• Pour postuler, il suffisait de payer 100 X, environ 100 dollars. Aucune ancienneté exigée.
• Vers 17h11 (heure de Moscou), un attaquant a emprunté environ 1,94 million d'USDT ($USDT) sur Aave, a racheté environ 38 200 X et les a répartis sur deux comptes. Chacun a bloqué 19 000,000001 X, soit un millionième de jeton de plus que le 2e sénateur. Résultat : 2 sièges sur 3 (Bitquery, Coindaro).
• Dans la même seconde, un des nouveaux sénateurs a proposé une vente, l'autre a voté oui, et la décision a été exécutée.
• La trésorerie a vendu 400 000 X dans une petite réserve d'échange créée juste avant par l'attaquant avec 100 dollars dedans. Elle a reçu… environ 35,68 dollars. Sur le papier, ces jetons valaient environ 20 millions (Bitquery).
• L'attaquant a revendu une partie de ces X sur la vraie réserve Uniswap, remboursé son prêt, et gardé 4 749 726 USDT. Avec une deuxième opération, le total atteint environ 4,85 millions de dollars (Blockaid, Bitquery). Le jeton X s'est effondré de plus de 96 %.
• Les fonds ont été convertis en ETH ($ETH ) et répartis dans plusieurs portefeuilles de 400 ETH (Chainalysis).
⚙️ Le mécanisme, simplement
Un « flash loan » (prêt éclair) est un prêt emprunté et remboursé dans une seule et même transaction. Si l'argent n'est pas rendu à la fin, toute la transaction est annulée, comme si rien ne s'était passé. Le prêteur ne prend donc aucun risque et ne demande aucune garantie. Pendant quelques secondes, n'importe qui peut avoir la puissance d'un millionnaire.
Chez X100, tout se faisait dans ces quelques secondes : acheter des jetons, prendre deux sièges, proposer, voter, exécuter, revendre, rembourser. Personne n'a eu le temps de voir quoi que ce soit.
🔒 Les deux protections qui manquaient
1. La photo du vote (snapshot) : beaucoup de projets comptent les voix selon ce que chacun possédait AVANT la proposition. Des jetons achetés à la dernière seconde ne comptent pas. Ça rend le prêt éclair inutile.
2. Le délai d'exécution (timelock) : une décision votée attend quelques heures ou jours avant d'être appliquée. Ça laisse le temps aux membres de voir une proposition suspecte et de retirer leurs fonds.
C'est exactement ce que fait le bureau de la tontine de Fatou : l'ancienneté et l'annonce avant l'action.
⚖️ La nuance
• Le prêt éclair n'est pas le méchant. C'est un outil utilisé tous les jours pour des opérations légitimes. Le problème, c'est un système de vote qui se laisse acheter en une seule transaction.
• Les chiffres varient un peu selon les sources (4,7 à 4,85 millions) car ils ont été calculés à des moments différents.
• Selon Bitquery, une bonne partie de l'argent pris venait de dépôts que les sénateurs eux-mêmes venaient d'ajouter quelques minutes avant.
🛡️ Avant de mettre ton argent dans un projet « gouverné par la communauté », 4 questions
1. Combien de personnes contrôlent vraiment la trésorerie ? 3 sièges, c'est très peu.
2. Les votes utilisent-ils une photo prise avant la proposition ?
3. Y a-t-il un délai entre le vote et l'exécution ?
4. Le code a-t-il été audité, et l'audit est-il public ?
Si tu ne trouves pas les réponses, c'est déjà une réponse.
✅ À retenir
1. X100 a perdu environ 4,75 à 4,85 millions de dollars le 24 octobre.
2. Deux sièges sur trois ont été achetés avec un prêt de quelques secondes.
3. Sans photo des votes ni délai d'exécution, une « gouvernance décentralisée » peut être prise d'assaut en une transaction.
4. « Décentralisé » ne veut pas dire « sécurisé » : regarde comment les décisions sont prises.
Et toi, tu vérifies comment un projet est gouverné avant d'y mettre de l'argent ? Dis-le en commentaire 👇
Pas un conseil financier. Sources : Bitquery, Le Coin, Coindaro, 0xCERT, Chainalysis, Blockaid (24-25 oct. 2026). Fatou est un personnage fictif.
#DeFi #Sécurité #FlashLoan

Một khoản vay nhanh đã mua đủ số phiếu để rút ruột 4,85 triệu USD mà không cần chờ thời gian trì hoãn quản trị. Dưới đây là diễn biến vụ tấn công từng bước và ba dấu hiệu cảnh báo cần chú ý trước khi bạn nạp tiền.
🏛️ Hôm thứ Bảy, kẻ tấn công đã vay tiền, mua quyền biểu quyết chi phối trong một dự án DeFi rồi rút sạch ngân quỹ của dự án, tất cả chỉ trong một giao dịch.
X100, một dự án trên Ethereum, đã mất khoảng 4,75–4,85 triệu USD vào ngày 24 tháng 10. Token của dự án giảm hơn 96% khi thanh khoản biến mất. Điều đáng sợ không phải là lỗi lập trình. Các hợp đồng đã làm đúng những gì chúng được thiết kế để làm.