L'automated market maker (AMM) basé sur Solana, Aquifer, a perdu environ 2,5 millions de dollars lors d'un exploit impliquant des portefeuilles sur Solana et Ethereum, le protocole offrant à l'attaquant une prime de 20 % pour la restitution de la majeure partie des fonds.
Le service de surveillance de la sécurité blockchain Defimon a signalé l'attaque le 31 août, identifiant des adresses Solana et Ethereum distinctes contrôlées par l'exploiteur présumé. Aquifer a ensuite envoyé une offre de "white hat" on-chain demandant la restitution d'au moins 80 % des actifs liés à l'incident.
L'offre donne à l'attaquant jusqu'au 3 septembre à 14h00 UTC pour transférer les actifs, ou leur valeur équivalente, aux adresses de récupération fournies par Aquifer. La personne contrôlant les portefeuilles peut conserver jusqu'à 20 % des fonds en tant que prime de "white hat" si les conditions sont remplies.
Aquifer a déclaré qu'il n'engagerait pas de poursuites civiles découlant de l'exploit si l'attaquant respecte les conditions, sous réserve des lois applicables. L'accord n'engagerait pas les forces de l'ordre, les régulateurs, les autorités de sanctions ou d'autres organismes gouvernementaux.
Aquifer fonctionne comme un automated market maker (AMM) propriétaire sur Solana, où sa liquidité est utilisée pour faciliter les échanges de tokens. DefiLlama décrit le protocole comme un AMM propriétaire et répertorie actuellement sa valeur totale verrouillée à environ 2,8 millions de dollars.
Les adresses identifiées après l'exploit montrent une activité s'étendant sur Solana et Ethereum. Defimon a lié l'adresse Solana 7fTe9pvrwXJRBHq9MaSyVPR4PgEuhqLiA93Dxf4gRk7J et l'adresse Ethereum 0x2Dfe9e969796e2797278b02761dd9Ad6aE922746 à l'attaquant.
Le message "white hat" d'Aquifer a été autorisé via l'autorité de mise à niveau Solana du protocole et publié on-chain. Le projet a fourni des adresses de récupération distinctes pour Solana et Ethereum, permettant aux actifs associés à l'attaque d'être restitués sur l'un ou l'autre réseau.
Les informations publiques n'ont pas encore établi exactement comment les portefeuilles ont été compromis. Aucun post-mortem technique n'a été publié expliquant si des clés privées, des identifiants d'administrateur ou une autre partie de l'infrastructure opérationnelle d'Aquifer a été exposée.
Les informations disponibles n'établissent pas non plus que le code des contrats intelligents d'Aquifer ait été exploité. L'utilisation d'adresses sur Ethereum et Solana fournit une piste aux enquêteurs qui suivent les actifs, mais n'identifie pas en soi comment l'accès aux fonds affectés a été obtenu.
Cet incident fait suite à plusieurs attaques liées à Solana cette année, où le point de compromission se trouvait en dehors de la blockchain sous-jacente.
En juin, crypto.news a précédemment signalé que cinq pools de liquidité hérités appartenant à Raydium avaient perdu environ 1,3 million de dollars après qu'un attaquant ait ciblé l'infrastructure AMM obsolète.
L'enquêteur on-chain Specter a déclaré que l'attaquant de Raydium avait utilisé une fausse adresse de frappe ("mint address") pour contourner les vérifications de validation dans un ancien programme AMM. Les actifs volés comprenaient environ 150 177 RAY, 5 603 SOL et 893 700 USDC.
Raydium a déclaré que ses pools actifs et ses utilisateurs actuels n'avaient pas été affectés car l'infrastructure vulnérable avait déjà été retirée progressivement. Le protocole s'est engagé à rembourser les actifs affectés à partir de sa trésorerie.
Un incident distinct en juillet impliquant Across Protocol a entraîné des pertes de moins de 4 millions de dollars après qu'un attaquant ait fabriqué des événements de dépôt Solana. L'attaquant a créé 1 627 faux dépôts d'une valeur totale déclarée de 41,7 millions de dollars et a demandé des paiements sur 18 chaînes de destination.
Le relayer de Risk Labs a traité 581 des requêtes frauduleuses avant que les opérations Solana ne soient suspendues, avançant environ 4,5 millions de dollars de son propre capital. Environ 500 000 dollars appartenant à l'attaquant sont restés piégés, ramenant la perte nette en dessous de 4 millions de dollars.
Across a déclaré plus tard que l'attaque de Solana provenait d'une faille dans le logiciel de lecture d'événements off-chain de Risk Labs et non d'une vulnérabilité dans ses contrats intelligents ou le réseau Solana. Les transferts d'utilisateurs légitimes ont été effectués ou remboursés.
Des défaillances de la sécurité opérationnelle ont produit des pertes ailleurs sans que les attaquants n'aient besoin d'exploiter la logique des contrats intelligents.
La société de paiements en stablecoins Triple-A a confirmé en juillet qu'un accès non autorisé à ses portefeuilles de trésorerie avait entraîné le vol d'actifs numériques appartenant à l'entreprise. Les chercheurs on-chain ont initialement suivi des retraits suspects sur Ethereum, Solana, TRON et TON, certains rapports identifiant une activité sur Polygon et Arbitrum.
Triple-A a déclaré plus tard que les fonds des clients n'avaient pas été affectés car les actifs des clients étaient séparés de l'infrastructure de trésorerie compromise. Les chercheurs avaient estimé la perte à environ 11,8 millions de dollars avant que l'entreprise ne confirme la violation.
La société n'a pas divulgué si l'attaquant avait obtenu des clés privées, des identifiants ou une autre forme d'accès. Triple-A a déclaré que des spécialistes de la cybersécurité et la police de Singapour travaillaient sur l'enquête et le traçage des actifs.
Les compromissions de clés privées et de portefeuilles ont représenté une part substantielle des vols de cryptos en 2026. CertiK a rapporté en juillet que les pertes d'actifs numériques avaient atteint 1,32 milliard de dollars au cours du premier semestre de l'année, soit une baisse de 46,8 % par rapport à la même période en 2025.
Malgré le total inférieur, la firme de sécurité a déclaré que les compromissions de portefeuilles étaient devenues la principale méthode d'attaque au cours du deuxième trimestre, remplaçant le phishing comme principale source de pertes.
Un autre projet Solana, Step Finance, a finalement cessé ses activités après une attaque plus tôt cette année qui a ciblé les appareils utilisés par les membres de son équipe de direction. Les attaquants ont eu accès aux portefeuilles de trésorerie et de frais et ont déplacé environ 261 854 SOL, tandis que des estimations ultérieures ont évalué les pertes totales sur les actifs affectés à près de 40 millions de dollars.
Les enquêteurs ont déterminé que les contrats intelligents de Step Finance n'étaient pas le point d'entrée. Des points d'accès ("endpoints") compromis ont permis aux attaquants d'accéder aux portefeuilles utilisés par le projet, et les dommages financiers ont ensuite contribué à la décision de fermer la plateforme.
Une distinction similaire dépendra de la publication par Aquifer de plus de détails sur sa propre violation. Le protocole n'a pas publié de post-mortem identifiant le point d'accès initial, les identifiants spécifiques impliqués ou si un compte compromis a donné le contrôle sur plusieurs portefeuilles.
Pour l'instant, le processus de récupération d'Aquifer est centré sur sa proposition de "white hat". L'attaquant s'est vu offrir le droit de conserver jusqu'à 20 % des actifs associés à l'exploit si au moins 80 % sont restitués aux adresses de récupération désignées avant le 3 septembre à 14h00 UTC.
SOL
USDC
