Rocket a suspendu les dépôts, les retraits et les transactions après qu'un attaquant a manipulé un marché perpétuel dormant et retiré environ 287 000 $ en PnL positif du Bridge de la plateforme.
Rocket a déclaré dans une mise à jour sur X le 7 septembre que l'incident de sécurité s'était produit aux alentours de 19h00 UTC le 5 septembre, lorsqu'un attaquant a ciblé un marché perpétuel inactif en utilisant un compte "burner" (jetable).
L'attaquant a placé des ordres à des prix artificiellement gonflés et a échangé contre lui-même, créant des profits artificiels sur un compte tout en poussant le compte "burner" à la faillite. Le compte profitable a ensuite retiré environ 287 000 $ du Bridge, laissant la perte résultante être socialisée sur toute la plateforme.
Au lieu de décrire une vulnérabilité de contrat intelligent, le récit initial de Rocket sur l'incident a porté sur la manipulation d'un marché perpétuel dormant avec une activité limitée.
En utilisant un compte jetable, l'attaquant a pu placer des ordres à des prix gonflés avant d'agir comme les deux côtés des transactions. Rocket a déclaré que les transactions ont généré des "faux profits" pour un compte tandis que le compte "burner" a accumulé les pertes correspondantes et est devenu insolvable.
Le compte affichant un PnL positif a ensuite retiré environ 287 000 $ via le Bridge avant que l'activité ne soit arrêtée.
Rocket a depuis mis en pause toutes les transactions, dépôts et retraits pendant que son équipe enquête sur l'incident. Le projet n'a pas fourni de calendrier pour la restauration des services affectés ni divulgué le nombre d'utilisateurs exposés à la perte socialisée.
Le traqueur de sécurité blockchain SlowMist a classé l'incident comme une attaque de manipulation de prix et a enregistré la perte à 287 000 $.
La méthode présente des similitudes avec des incidents précédents sur des marchés perpétuels "thin" (peu liquides) où les traders ont pu manipuler les prix ou les positions et transférer les pertes résultantes aux fournisseurs de liquidités ou à d'autres parties d'une plateforme de trading.
En mars 2025, un trader a ciblé le marché JELLY peu liquide de Hyperliquid en ouvrant une position courte importante tout en achetant le jeton sur des échanges décentralisés. L'activité a fait grimper le prix du JELLY en flèche et a poussé la position courte vers la liquidation, transférant finalement la position vers le coffre de liquidité d'Hyperliquid.
Comme crypto.news l'a précédemment rapporté, Hyperliquid a restreint les comptes du trader au mode "réduction seulement" avant que les validateurs ne votent plus tard pour déclasser le marché perpétuel JELLY et régler les positions en suspens.
Un incident distinct chez Hyperliquid en mars 2025 a vu son coffre HLP absorber environ 4 millions de dollars de pertes après qu'un trader a retiré des garanties d'une position Ether très levée avant la liquidation. Hyperliquid a déclaré à l'époque que l'événement n'était pas un exploit de protocole et a ensuite modifié les exigences de levier pour les positions Bitcoin et Ether.
Avec les opérations de la plateforme suspendues, Rocket a déclaré travailler avec des entreprises de sécurité et des forces de l'ordre pour enquêter sur l'attaque et récupérer les fonds.
L'équipe coordonne avec les échanges de cryptomonnaies, les bridges inter-chaînes et les émetteurs de stablecoins pour tracer les actifs volés et tenter de les geler. Rocket n'a pas divulgué l'identité des entreprises de sécurité ou des agences de maintien de l'ordre impliquées dans l'enquête.
Des mesures similaires ont été utilisées après d'autres incidents DeFi récents, en particulier lorsque les attaquants tentent de déplacer des fonds via des bridges ou des plateformes de trading centralisées.
AFX a subi un exploit de bridge inter-chaînes en juillet qui a drainé 24,15 millions d'USDC. L'entreprise de sécurité Blockaid a travaillé avec l'équipe Arbitrum pour enquêter sur l'incident alors que l'attaquant transférait l'USDC volé vers Ethereum et convertissait les produits en 12 467,5 ETH.
Plus tôt en juin, Axelar a désactivé les routes de bridge connectées à Secret Network après qu'un exploit a entraîné environ 4,7 millions de dollars de pertes. Axelar a déclaré que l'incident était limité aux actifs bridgés sur Secret Network et n'avait pas compromis son protocole principal.
Rocket n'a pas divulgué si une partie des 287 000 $ avait été gelée ou récupérée jusqu'à présent.
L'équipe prépare un plan de récupération pour les utilisateurs affectés par l'incident, les comptes de petite taille devant recevoir la priorité lors du début des remboursements.
Rocket a déclaré comprendre que l'indemnisation est la mise à jour que les utilisateurs affectés attendent, mais ne fournira des détails spécifiques que lorsqu'elle pourra le faire de manière responsable. La plateforme n'a pas encore divulgué la taille de ses fonds de récupération disponibles, les exigences d'éligibilité, la méthode de paiement ou un calendrier pour les remboursements.
Les programmes de récupération ont pris différentes formes suite aux attaques précédentes sur les protocoles de trading décentralisés.
GMX, par exemple, a achevé un plan d'indemnisation d'environ 44 millions de dollars en août 2025 pour les fournisseurs de liquidités affectés par un exploit de son pool GLP V1. Le protocole a utilisé des jetons GLV pour les distributions, tandis que sa trésorerie DAO a couvert un déficit de 2 millions de dollars.
L'attaquant de GMX avait précédemment retourné environ 37,5 millions de dollars sur les quelque 42 millions de dollars volés après que le protocole ait offert une prime de 10 % pour "white-hat". Le système V1 affecté a été mis en pause après l'attaque, tandis que GMX V2 est resté opérationnel.
Rocket n'a pas annoncé de prime similaire ni offert de conditions directement à l'attaquant. Son effort de récupération actuel reste axé sur le traçage des fonds retirés et l'élaboration d'un plan de remboursement.
La plateforme a averti les utilisateurs de se méfier des imitateurs tentant de profiter de l'incident. Rocket a déclaré que les informations de récupération ne seront publiées que via son compte X officiel et ses canaux Discord, ajoutant que les membres de l'équipe ne contacteront pas les utilisateurs affectés en premier par message direct.
ETH
USDC
