CrediX victime d'une faille de sécurité sur la blockchain Sonic après un prêt flash de 2,64 millions de dollars

CrediX, une application de prêt mineure sur la blockchain Sonic, a perdu jusqu'à 200 000 $ de liquidités sur un prêt flash de 2,6 millions de dollars. Le portefeuille avait été alimenté par Tornado Cash, et les fonds ont ensuite été transférés vers Ethereum. 

CrediX a bloqué son site après que des retraits non autorisés ont été interceptés par des enquêteurs de la blockchain. Ce protocole de prêt mineur sur Sonic a perdu environ 200 000 $ de liquidités suite à un prêt éclair frauduleux de 2,64 millions de dollars. 

L'attaque a été immédiatement interceptée par Cyvers Alerts, qui a constaté que le portefeuille de l'attaquant était alimenté par Tornado Cash. 

🚨ALERTE🚨Notre système a détecté plusieurs transactions suspectes sur le #Sonic impliquant @CrediX_fi.

Une adresse financée par @TornadoCash sur le #ETH a transféré des fonds vers le #Sonic et a emprunté environ 2,64 millions de dollars à @CrediX_fi.

La plupart de ces fonds ont… pic.twitter.com/vK2y21Vhu9

— 🚨 Alertes Cyvers 🚨 (@CyversAlerts) 4 août 2025

Suite à cette exploitation de la faille, le pirate a transféré les fonds vers une Ethereum , probablement en vue de les mélanger ou de les échanger. Cette tactique rappelle des attaques similaires menées par des attaquants nord-coréens, qui utilisent généralement Ethereum pour faciliter les transferts et améliorer la liquidité. 

CrediX a désactivé les dépôts

La plateforme Sonic reste sécurisée, mais CrediX n'a ​​pas encore précisé la raison exacte de la faille. La start-up de prêt a annoncé la suspension de ses dépôts afin d'éviter d'autres attaques. 

https://twitter.com/CrediX_fi/status/1952297149418647734

Cependant, une enquête plus approfondie a révélé que le prêt éclair n'était pas accessible au grand public. L'attaquant, en revanche, était parvenu à obtenir un accès administrateur à un portefeuille multisignature, lui permettant de contrôler la fonction de pont. 

Bien que les premiers retraits non autorisés aient été de faible montant, l'attaquant est parvenu à émettre jusqu'à 4,5 millions de dollars en jetons USDC pontés illégalement. Il a émis des jetons de garantie, permettant ainsi la création d'un prêt. Ce prêt était disproportionné par rapport à la liquidité disponible, vidant de fait le pool du protocole. 

Selon SlowMist, l'attaquant s'est préparé six jours auparavant en obtenant un accès administrateur à l'un des portefeuilles multisignatures de la plateforme de prêt. Bien que le protocole ne disposât pas d'une liquidité suffisante pour une attaque de grande ampleur, la possibilité de créer des jetons sans dépôt a offert au pirate une marge de manœuvre bien plus importante lors de l'obtention d'un prêt. 

CrediX étend sa série d'attaques à petite échelle

CrediX est un protocole de prêt relativement mineur, avec seulement 219,64 SOL bloqués. Le projet vise à accélérer sa croissance à mesure que le marché des prêts basés sur Solanase développe. La version attaquée est entièrement compatible avec Sonic et permet les prêts P2P entre petits utilisateurs. 

Ces piratages à relativement petite échelle font suite à l' attaque contre SuperRarepermis de dérober 730 000 $ en exploitant un intelligenttraca.

L'attaque contre CrediX montre que même les protocoles les plus petits et les plus obscurs ne sont pas à l'abri lorsque des pirates informatiques trouvent un moyen de drainer leurs liquidités restantes.  

Le protocole CrediX a affiché une activité, la plupart des fonds restants étant bloqués en jetons USDC. 

L'attaque a eu lieu à un moment où le réseau Sonic était particulièrement actif. La chaîne Sonic compte environ 20 000 utilisateurs actifs quotidiens, un chiffre qui a chuté après l'engouement suscité par son lancement. La valeur totale des comptes Sonic bloqués a également diminué, passant d'environ 1 milliard de dollars à 439 millions de dollars.

La chaîne Sonic a subi un piratage similaire en mai, où une erreur de tarification d'un oracle a entraîné une sortie de fonds non autorisée de 700 000 $ de Vicuna Finance. Sonic a également suscité des craintes quant à la possibilité de voir se répéter le sort de Fantom, son prédécesseur. Fantom avait été piraté et avait perdu 200 millions de dollars, ainsi que la majeure partie de ses volumes, avant de se réinventer sous le nom de Sonic L2.