Stake DAO, une plateforme DeFi axée sur les stratégies de rendement automatisées, fait face à un exploit en cours, ont rapporté plusieurs entreprises de sécurité blockchain mercredi.
L'attaquant a frappé plus de 5,4 billions de vsdCRV sur Arbitrum et l'échange activement contre de l'ETH, a noté Blockaid sur X. PeckShield a déclaré que, jusqu'à présent, certains des jetons avaient été échangés contre 43,78 ETH (91 000 $) et transférés vers Ethereum.
Le vsdCRV, ou sdCRV boosté par vote, est un jeton dérivé lié au rendement, rattaché à l'écosystème Curve Finance et utilisé au sein de Stake DAO.
Stake DAO a déclaré être au courant de la situation et a exhorté les utilisateurs à ne pas interagir avec le vsdCRV.
La cause principale suspectée est une clé privée de déployeur Stake DAO compromise, ont déclaré les chercheurs.
"L'attaquant semble avoir obtenu la clé privée du déployeur et défini un pair arbitraire pour le vsdCRV", a expliqué BlockSec. "En utilisant ce pair, ils ont forgé un message malveillant qui a déclenché la frappe inconditionnelle d'environ 5,44 T de vsdCRV vers leur adresse."
Cet exploit s'inscrit dans l'une des pires périodes pour les exploits DeFi, apparemment alimentée par les avancées en intelligence artificielle, avec des dizaines de protocoles piratés pour plus de 600 millions de dollars depuis avril, le plus important étant l'exploit de 292 millions de dollars de Kelp DAO. Mardi, Manuel Aráoz, de la société de sécurité crypto OpenZeppelin, a déclaré qu'il considérait "toute la DeFi" comme dangereuse, citant l'asymétrie entre les attaquants et les défenseurs.
Shalev Keren, cofondateur et CPO de Sodot, a déclaré à The Block que l'exploit de Stake DAO est structurellement similaire à l'incident Wasabi du mois dernier et à plusieurs autres compromissions de clés de déployeur cette année.
"La clé du déployeur de Stake DAO sur Arbitrum a été utilisée pour rediriger la configuration du pont inter-chaînes vsdCRV vers un contrat contrôlé par l'attaquant sur Ethereum, et environ vingt-cinq secondes plus tard, ce contrat a renvoyé un message LayerZero, provoquant la frappe de plus de cinq billions de vsdCRV pour l'attaquant par le jeton Arbitrum légitime, qui le vend maintenant pour de l'ETH", a déclaré Keren. "Il n'y a pas de bug de contrat intelligent ici, ni de faille dans LayerZero, il y a une clé privée, contrôlant une fonction de configuration privilégiée, sans multisig et sans délai entre la modification de la configuration et la validation de la frappe on-chain."
Keren a ajouté que l'incident met en évidence des préoccupations plus larges concernant la sécurité opérationnelle et la concentration des permissions de déployeur privilégiées liées aux protocoles DeFi audités.
C'est une histoire en développement.
Avertissement : The Block est un média indépendant qui fournit des actualités, des recherches et des données. Depuis novembre 2023, Foresight Ventures est l'investisseur majoritaire de The Block. Foresight Ventures investit dans d'autres sociétés de l'espace crypto. L'échange crypto Bitget est un LP ancré pour Foresight Ventures. The Block continue de fonctionner de manière indépendante pour fournir des informations objectives, percutantes et opportunes sur l'industrie crypto. Voici nos divulgations financières actuelles.
© 2026 The Block. Tous droits réservés. Cet article est fourni à titre informatif uniquement. Il n'est pas proposé ou destiné à être utilisé comme conseil juridique, fiscal, d'investissement, financier ou autre.
