L'exploitation d'Ajna de 775K met en lumière des risques au-delà des oracles de prix DeFi
- Ajna Protocol aurait perdu environ 775 000 $ en ETH après qu'un attaquant ait exploité la comptabilité interne de liquidation.
- L'attaque a ciblé plusieurs pools, notamment syrupUSDC, wstETH, rETH, cbETH, WBTC et WETH/USDC.
- Ajna fonctionne délibérément sans oracles de prix externes, s'appuyant plutôt sur ses propres mécanismes de marché et de liquidation.
Ajna Protocol, une plateforme de prêt qui fonctionne sans oracles de prix, aurait perdu environ 775 000 $ en ETH. Les exploitants ont utilisé la comptabilité de liquidation interne de la plateforme au lieu d'utiliser des flux de prix tiers dans leur attaque.
L'assaut a impacté un certain nombre de pools de liquidité, tels que syrupUSDC, wstETH, rETH, cbETH, WBTC, WETH/USDC et sDAI. Cependant, cela soulève des questions sur un aspect important de la philosophie d'Ajna – l'absence d'oracles et de gouvernance et le marché à auto-évaluation.
L'attaquant a tiré profit de cette hypothèse même.
L'oracle qu'Ajna a délibérément exclu
La majorité des protocoles de prêt utilisent un service externe tel que Chainlink pour établir les prix des garanties. Ajna, cependant, ne fait pas cela intentionnellement. En fait, son livre blanc décrit le protocole comme suit :
« Le protocole Ajna est un système de prêt, d'emprunt et de trading non custodial, pair-à-pair et sans permission qui ne nécessite ni gouvernance ni flux de prix externes pour fonctionner. »
Plutôt, les prêteurs déterminent les taux auxquels ils prêteront en mettant de l'argent dans des « seaux » d'un montant fixe, et ce sont les contrats du protocole qui déterminent quand le prêt doit être liquidé. Pour le lancement d'un processus de liquidation, une obligation de liquidation doit également être payée par la personne initiant le processus de liquidation, imposant une pénalité financière en cas de liquidation sans justification.
MixBytes, une société de sécurité, a expliqué la réflexion derrière l'élimination de l'oracle :
« une part significative des attaques contre les protocoles DeFi provient de manipulations de prix d'oracles, d'erreurs de configuration et de problèmes de contrôle d'accès. »
Le remède d'Ajna a été d'éliminer la surface d'attaque et de faire confiance aux opérations du pool. L'avertissement de Defimon laisse entendre que l'assaillant s'est concentré sur ce mécanisme interne – volant par manipulation de la comptabilité de liquidation au lieu de compromettre l'oracle de prix externe.
Une heure d'avertissement restée sans réponse
Defimon affirme qu'il a été capable de détecter une « attaque préparée plus d'une heure avant la transaction d'exploitation initiale » et en a informé Ajna via le chat Discord du projet. Le protocole n'était pas encore sécurisé lorsque l'assaut a commencé.
Ensuite, le hacker a traversé de nombreux pools. Selon le rapport, le pool syrupUSDC a subi des pertes d'environ 173 700 $ sur une perte totale d'environ 775 000 $.
La perte est assez importante pour Ajna. Selon le rapport DefiLlama à l'époque, la valeur totale verrouillée (TVL) pour Ajna V2 s'élevait à environ 206 000 $. Les prêts actifs étaient fixés à environ 418 000 $, tandis qu'il a enregistré une variation de TVL sur 30 jours de -54,2 %. À l'époque, la perte signalée due à l'attaque dépassait la TVL d'Ajna. Les données en direct de DefiLlama ont changé depuis.
Briser le code, ou le faire croire à quelque chose d'impossible
La question plus large est de savoir si l'attaquant a piraté le code d'Ajna ou a trompé le système pour qu'il accepte de fausses données comme valides.
Les preuves suggèrent que c'est le cas. L'historique des audits publié par Ajna comprend des découvertes passées liées aux calculs de « prise » pendant le processus de liquidation et des instances où la comptabilité a été effectuée incorrectement pour l'état du seau, entre autres. Ces problèmes ont déjà été jugés corrigés ; néanmoins, ils fournissent la preuve de problèmes liés à la logique de liquidation et de comptabilité.
Le schéma est courant. Cryptopolitan a rapporté plus tôt au sujet de Moonwell, où l'assaillant a utilisé environ 7 millions de dollars dans le processus de levée du jeton illiquide MAMO par un facteur huit, puis a emprunté près de 10 millions de dollars d'actifs réels et est finalement parti avec près de 6 millions de dollars.
Selon Nethermind, ces méthodes d'attaque fonctionnent comme suit :
« ils forcent le contrat à calculer un prix déformé et à l'exploiter avant la fin de la transaction. »
Ajna s'est débarrassé de l'oracle, mais il nécessite toujours que ses contrats fassent confiance à ses calculs.
L'architecture de V2 devient l'histoire réelle
| Étape | Point de données |
|---|---|
| Pré-attaque | TVL Ajna V2 / liquidité du pool affecté |
| Déclencheur | Première transaction anomale |
| Exploitation | Fonction du contrat + actifs manipulés |
| Extraction | Actifs transférés depuis le protocole |
| Conversion | Swaps DEX / stablecoins acquis |
| Évasion | Ponts / CEX / autres protocoles |
| Exposition résiduelle | Mauvaise dette restante ou liquidité altérée |
| Récupération | Actifs gelés / récupération de chapeau blanc / réponse du protocole |
| Indicateur | Chiffre actuel | Changement sur 30 jours | Pourquoi c'est important |
|---|---|---|---|
| Perte exploitée signalée | À déterminer | — | En attente de l'enquête d'Ajna / comptabilité sur chaîne confirmée |
| TVL | $449,783 | -17.1% | Mesure le capital encore détenu dans les contrats V2 |
| Prêts actifs | $30,198 | Non signalé | Indique l'exposition des emprunteurs en souffrance |
| Pools suivis | 5 | — | Dénominateur utile pour déterminer si l'incident est isolé ou systémique |
| TVL Ethereum | $425,825 | — | 94.7% de la V2 TVL |
| TVL Arbitrum | $8,552 | — | Exposition croisée plus petite |
| TVL Base | $7,354 | — | Exposition croisée plus petite |
| TVL Rari | $3,555 | — | Exposition croisée plus petite |
| TVL OP Mainnet | $3,227 | — | Exposition croisée plus petite |
Ajna V2 a actuellement environ 450 000 $ de TVL contre 30 200 $ de prêts actifs, tandis que la TVL a diminué de 17,1 % sur 30 jours.
Une statistique analytique utile est que les prêts actifs ne représentent que environ 6,7 % de la TVL signalée. Cela rend la question d'enquête particulièrement intéressante : l'exploitation suspectée affecte-t-elle la comptabilité de la dette en souffrance, la liquidité déposée, ou les deux ? La question devient donc : « Quelle hypothèse V2 a-t-elle introduite qu'un attaquant pourrait transformer en argent ? »
Un petit pool dans une année record pour les exploitations
La perte de 775 000 $ est modeste par rapport aux plus grands piratages de cryptomonnaies de 2026, mais elle s'inscrit dans un schéma plus large.
TRM Labs a compté 207 piratages au premier semestre, le nombre le plus élevé enregistré sur une période de six mois, l'incident typique coûtant environ 219 000 $. Plus de 100 impliquaient des exploitations de contrats intelligents de moindre envergure.
Les compromissions d'infrastructure et opérationnelles ne représentaient que environ 15 % des incidents mais ont représenté environ 76 % des pertes totales.
Ajna illustre donc une partie différente du problème de sécurité : les pertes n'ont pas besoin de provenir de brèches spectaculaires d'échanges ou de clés privées compromises. Elles peuvent émerger des hypothèses enfouies dans la logique de prêt DeFi de plus en plus complexe.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Combien Ajna Protocol a-t-il perdu et où ?
Selon Defimon Alerts, Ajna a perdu environ 775 000 $ sur Ethereum, dont environ 173 700 $ ont été drainés depuis son pool syrupUSDC.
L'attaquant a-t-il exploité un oracle ?
Non. Ajna fonctionne sans flux de prix externes par conception, selon son livre blanc, et Defimon a qualifié l'attaque de « manipulation de la comptabilité de liquidation », ce qui signifie que la comptabilité interne du protocole a été détournée plutôt qu'un oracle externe.
Ajna avait-il été averti avant l'attaque ?
Oui. Defimon indique avoir détecté l'attaque préparée plus d'une heure avant la première transaction d'exploitation et en a informé Ajna sur Discord, mais l'équipe n'a pas réagi à temps.
Qu'est-ce que la manipulation de la comptabilité de liquidation ?
La manipulation comptable lors des liquidations est une attaque qui exploite la manière dont un protocole de prêt calcule le collatéral, la dette, les prix de liquidation ou les pertes. Un attaquant peut manipuler ces calculs pour emprunter plus qu'il ne devrait, éviter une perte ou extraire de la valeur auprès des prêteurs.
Quelle est la TVL actuelle d'Ajna ?
La valeur totale verrouillée (TVL) actuelle d'Ajna doit être vérifiée sur un tableau de bord on-chain en temps réel, car ce chiffre peut changer rapidement pendant un exploit. Pour ce rapport, il convient de distinguer la TVL globale d'Ajna de la liquidité réellement exposée aux pools V2 concernés.
Mes fonds sont-ils en sécurité si j'ai prêté sur Ajna ?
Pas nécessairement. Si vous avez fourni des actifs à un pool V2 d'Ajna concerné, votre exposition dépend du pool spécifique, de l'actif et des transactions impliquées dans l'incident. Jusqu'à ce qu'Ajna termine son enquête, les prêteurs doivent consulter les mises à jour officielles du protocole concernant l'incident avant de supposer que leurs fonds sont épargnés.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Ashish Kumar
Ashish Kumar est un journaliste spécialisé dans la crypto et la finance, avec huit ans d'expérience en rédaction. Il couvre l'actualité des marchés cryptographiques, de la réglementation, de la DeFi et des écosystèmes d'échanges. Il a travaillé pour Coingape, Todayq et Newsroompost. Ashish détient un PGDP en journalisme anglais de l'IIMC. Il a également interviewé des personnalités du secteur telles qu'Arthur Hayes, Yat Siu, Austin Federa, et bien d'autres.
