Claude Opus 4.6 d'Anthropic mis en cause dans la perte de 1,78 million de dollars de Moonwell lors d'une exploitation de contrat intelligent

Le protocole de prêt DeFi Moonwell a perdu 1,78 million de dollars après une erreur de prix de l'oracle, dans ce qui est décrit comme l'une des premières grandes exploitations directement liées au code Solidity généré par l'IA. Apparemment, l'erreur était causée par un code partiellement écrit par le modèle Claude Opus 4.6 d'Anthropic.

Moonwell, un marché de prêt décentralisé opérant sur Base et Optimism, a déclaré avoir trouvé un problème critique de configuration d'oracle affectant son Coinbase Wrapped Ether (cbETH) Core Market sur Base.

Cela a conduit à une valorisation du cbETH d'environ 1,12 $ par token au lieu de son prix de marché réel d'environ 2 200 $, soit une sous-évaluation de 2 000 fois qui a déclenché des liquidations instantanées.

🚨Claude Opus 4.6 a écrit du code vulnérable, entraînant une exploitation de contrat intelligent avec une perte de 1,78 million de dollars

Le prix de l'actif cbETH a été fixé à 1,12 $ au lieu d'environ 2 200 $. Les PRs du projet montrent que les commits ont été co-rédigés par Claude – S'agit-il du premier piratage de code Solidité codé avec une ambiance ? pic.twitter.com/4p78ZZvd67

— pashov (@pashov) février 17, 2026

Le code co-rédigé par Claude a fixé le prix du cbETH à $1.12 au lieu de $2,200

La vulnérabilité est apparue le 15 février, juste après que Moonwell a activé la proposition de gouvernance MIP-X43, qui intégrait les contrats wrapper Oracle Extractable Value (OEV) de Chainlink sur les marchés Base et Optimism.

Ainsi, au lieu de calculer le prix du cbETH en USD en multipliant le taux de change cbETH/ETH par le flux de prix ETH/USD, le code déployé n'a obtenu que le taux de change cbETH/ETH et a traité ce ratio comme s'il était déjà exprimé en dollars.

Avec le cbETH négociant à des prix plus bas en raison de l'oracle de Moonwell, les liquidateurs pouvaient rembourser environ 1 $ de dette et obtenir en retour une garantie valant des milliers de dollars.

Le gestionnaire des risques de Moonwell a pu réduire le plafond d'emprunt cbETH à 0,01 en quelques heures après la vulnérabilité, gelant efficacement les nouvelles activités d'emprunt et contenant les dégâts.

Cependant, les liquidations avaient déjà été traitées, laissant les utilisateurs avec des pertes catastrophiques.

Le protocole a également estimé les pertes totales à 1,78 million de dollars, touchant principalement les positions cbETH, WETH et USDC. Certains emprunteurs ont failli perdre toute leur garantie, tandis que d'autres ont exploité la mauvaise évaluation pour emprunter encore plus d'argent qu'ils n'auraient dû, créant ainsi plus de dette au sein du protocole.

Bithumb a subiune erreurd'affectation de valeur similaire seulement quelques plus tôt

L'incident Moonwell est très similaire à une erreur commise à la bourse sud-coréenne Bithumb quelques jours plus tôt, le 6 février, où une mauvaise attribution d'unité a créé des dizaines de milliards de dollars de valeur fantôme.

Apparemment, un membre du personnel de Bithumb a saisi « BTC » au lieu de « KRW » lors de la distribution des récompenses pour une promotion Random Box, récompensant ainsi les utilisateurs en bitcoin au lieu de wons sud-coréens.

Le projet a perdu environ 620 000 Bitcoin, d'une valeur de plus de 40 milliards de dollars (près de 3 % de l'offre totale mondiale de Bitcoin).

Le débat sur le « vibe coding » s'intensifie

L'incident Moonwell a ravivé le débat sur le codage par « vibe ». Les partisans soutiennent que l'IA rend le codage plus accessible, tandis que les critiques mettent en garde contre le fait que son code pourrait contenir des vulnérabilités que les revues humaines manqueraient très probablement.

L'auditeur de contrats intelligents Pashov a souligné que « derrière l'IA se trouve une personne qui vérifie le travail terminé, et peut-être un auditeur. Pour cette raison, blâmer uniquement le réseau neuronal est incorrect, bien que l'incident « soulève des inquiétudes » concernant le codage par « vibe ».

Une autre firme de sécurité blockchain, SlowMist, a partagé ses préoccupations concernant la « vulnérabilité de la formule de l'oracle » et la rupture de la supervision humaine qui a permis au code défectueux d'atteindre la production.

Une étude publiée quelques semaines avant l'incident Moonwell a identifié 69 vulnérabilités dans 15 applications créées à l'aide d'outils de codage IA populaires, notamment Cursor, Claude Code, Codes etc.

Encore plus intéressant, la propre recherche d'Anthropic de décembre 2025 a révélé que Claude Opus 4.5 pouvait exploiter seul des vulnérabilités de contrats intelligents d'une valeur de 4,6 millions de dollars (dans un environnement simulé). La recherche a également établi que les modèles IA de premier plan peuvent désormais « identifier indépendamment les vulnérabilités, créer des chaînes d'exploitation fonctionnelles et extraire de la valeur avec un minimum de surveillance humaine.

Néanmoins, Moonwell a précisé que « aucun autre marché sur Base ou OP Mainnet n'a été affecté. Le problème est isolé au Marché Central cbETH sur Base.

Le protocole a également noté qu'il ne s'agissait pas de son premier incident d'oracle, rappelant un incident de mauvaise déclaration en novembre 2025.