Cinq pools de liquidité dépréciés de l'échange décentralisé Raydium, basé sur Solana, ont été exploités mercredi, entraînant le vol de plus de 1,34 million de dollars de fonds.
L'exploit a affecté le programme de teneur de marché automatisé hérité de la société et a entraîné la perte de Solana (SOL), ainsi que du stablecoin adossé au dollar USDC et du jeton natif de l'échange, RAY.
« Aucun utilisateur actuel de Raydium n'est affecté par cet exploit ou n'aurait pu interagir avec ces pools via l'interface utilisateur depuis leur dépréciation », a publié le contributeur pseudonyme de Raydium 0xInfra sur X.
L'exploiteur, dont l'adresse Solana se termine par « Bq33QVk », a réussi à contourner la logique de validation du programme déprécié et à émettre de nouveaux jetons de fournisseur de liquidité. Au total, l'attaquant a dérobé près de 900 000 $ en USDC, environ 357 000 $ en SOL et 86 000 $ en RAY. Ces fonds seront remboursés à l'aide de la trésorerie de la société.
Raydium est conscient d'un exploit impliquant le retrait non autorisé de liquidités de son programme AMM V3 hérité, qui avait été précédemment retiré en 2021.
Aucun utilisateur actuel de Raydium n'est affecté par cet exploit ou n'aurait pu interagir avec ces pools via l'interface utilisateur depuis…
— Infra | Raydium (@0xINFRA) 10 juin 2026
Les programmes mainnet existants de la société empêchent ce type de vulnérabilité, selon 0xInfra, qui a souligné que cela n'était pas dû à une « compromission de clé ou un problème de niveau d'autorité ».
L'exploit s'ajoute à une liste croissante de vulnérabilités découvertes récemment dans les réseaux crypto et les protocoles de finance décentralisée (DeFi).
En avril, KelpDAO et Drift Protocol, basé sur Solana, ont chacun subi des exploits qui ont affecté un peu moins de 300 millions de dollars de fonds, respectivement.
La semaine dernière, le réseau de confidentialité Zcash a vu son jeton natif chuter de plus de 40 % en 24 heures après que les développeurs ont révélé qu'un chercheur en sécurité avait utilisé un modèle d'IA de pointe pour découvrir une vulnérabilité vieille de quatre ans qui affectait l'un de ses pools de confidentialité.
Bien qu'il n'y ait pas encore de preuves que l'IA ait été utilisée dans l'exploit de Raydium, des analystes ont déclaré à Decrypt en mai que l'IA transformait la découverte d'exploits en « automatisant ce que font les auditeurs qualifiés ».
De plus, l'exploit a eu lieu juste un jour après que la société d'IA privée Anthropic a publié une version améliorée de Mythos, son outil axé sur la cybersécurité qu'elle prétend posséder des « capacités de cybersécurité sans précédent ». Anthropic a également publié une version édulcorée, accessible au public, appelée Claude Fable 5, qui a suscité des critiques en raison de son degré de limitation.
Au milieu de l'incident, le jeton natif de Raydium a baissé d'environ 2 % au cours des dernières 24 heures, s'échangeant récemment à 0,567 $. Le jeton a chuté d'environ 13 % au cours de la dernière semaine de trading, au milieu d'une baisse plus large du marché, et est maintenant 96,6 % en dessous de son plus haut historique de 16,83 $.
