Un propriétaire de Gnosis Safe perd 7,8 millions de dollars en crypto à cause d'une faille de smart contract

Traders Union
Toutes les actualités
Cryptomonnaies
Un propriétaire de Gnosis Safe perd 7,8 millions de dollars

Toutes les actualités

À la une

Sélection de la rédaction

Actions

Cryptomonnaies

Économie

Devises

Matières premières

Business & Wealth

Voix du marché

Darina Pashchenko

15.09.2026

Un propriétaire de Gnosis Safe perd 7,8 millions de dollars en crypto à cause d'une faille de smart contract — Une faille de smart contract coûte 7,8 M$ à un propriétaire de Gnosis Safe

Le propriétaire d'un portefeuille crypto a perdu environ 2 900 rsETH, d'une valeur de 7,8 millions de dollars, en raison d'une faille dans le mécanisme d'autorisation d'un smart contract auxiliaire. Des chercheurs en sécurité ont constaté que le problème n'affectait pas les contrats principaux de Safe, mais provenait d'un composant tiers auquel l'utilisateur avait autorisé l'accès aux actifs.

Cet article a été traduit de l'original. Lisez la version originale de notre correspondant ici.

L'attaque s'est produite sur Ethereum et a touché un portefeuille Gnosis Safe. Afin d'automatiser les transactions, son propriétaire avait autorisé un contrat auxiliaire à déplacer des fonds en son nom, une configuration couramment utilisée notamment pour le trading automatisé.

Voir la publication sur X Chargement…

Le tweet a été supprimé par son auteur.

Mais nous avons tout sauvegardé 🙂.

Cependant, la vérification du contrôle d'accès du contrat avait été mal implémentée. Selon SlowMist et BlockSec, le système permettait en pratique à n'importe quel utilisateur d'exécuter une transaction s'il désignait le contrat auxiliaire lui-même comme cible.

Un bot intercepte 2 900 rsETH

En exploitant cette faille, l'attaquant a initié un swap d'environ 2 900 rsETH via un pool de trading créé quelques minutes plus tôt avec un token pratiquement sans valeur appelé Permissionless Attacker Token. Le portefeuille devait ainsi céder des actifs liquides en échange de tokens sans valeur réelle.

Cependant, l'attaquant initial n'est pas parvenu à finaliser l'opération. Un bot automatisé connu sous le nom de yoink a détecté la transaction et l'a devancée, en payant environ 47 000 dollars pour obtenir la priorité.

Le bot a ainsi obtenu les actifs et transféré 2 882 rsETH vers une adresse distincte. Des analystes ont confirmé que les fonds avaient été interceptés en devançant la transaction de l'attaque initiale.

AstraSec a identifié une vérification d'autorisation défaillante dans le contrat Multicall comme étant la cause profonde de l'incident. D'autres chercheurs en sécurité ont également conclu que la vulnérabilité ne se trouvait pas dans les contrats principaux de Safe, mais dans un composant auquel le propriétaire du portefeuille avait accordé de manière indépendante des autorisations de confiance.

Kelp DAO gèle temporairement une adresse suspecte

Kelp DAO, l'émetteur de rsETH, a déclaré que ses propres contrats restaient sécurisés et que le token était entièrement collatéralisé. Après avoir détecté une activité suspecte, le projet a temporairement restreint les transactions impliquant l'adresse ayant reçu les actifs volés.

La restriction a été imposée pendant 24 heures. Durant cette période, les rsETH ne pouvaient pas être transférés vers ou depuis l'adresse suspecte pendant que l'équipe enquêtait sur l'incident.

Un incident d'infrastructure similaire s'est produit plus tôt sur Liquid Network. Des hackers ont retiré environ 4 000 BTC d'une valeur approximative de 320 millions de dollars du portefeuille détenant les bitcoins garantissant le LBTC, ce qui a conduit le réseau à suspendre ses opérations.

Au moment de l'attaque, ce montant représentait environ 95 % des réserves de bitcoins de Liquid Network, qui s'élevaient à environ 4 200 BTC avant l'incident. Une partie des fonds a ensuite été restituée après la correction de la vulnérabilité.

Nous avons précédemment signalé que la blockchain Cronos avait été complètement arrêtée à la suite d'une attaque contre Tectonic, le plus grand protocole de prêt de son écosystème. Les pertes préliminaires liées à l'exploit étaient estimées à environ 75 millions de dollars.

Ce matériel peut contenir des opinions de tiers, aucune des données et informations sur cette page web ne constitue un conseil en investissement selon notre Avertissement. Bien que nous respections une stricte Intégrité Éditoriale, ce post peut contenir des références à des produits de nos partenaires.

Cet article vous a plu ?