Flow détaille l'exploitation de $3.9M dans son rapport complet post-incident

Flow a publié un rapport post-incident le 6 janvier 2026, discutant de la cause racine de son exploitation de 3,9 millions de dollars.

Un attaquant a exploité une vulnérabilité de confusion de types dans l'exécution de Cadence pour falsifier des jetons. Flow a déclaré qu'aucun solde utilisateur existant n'a été accédé ou compromis.

Flow identifie la vulnérabilité de confusion de types comme la cause racine de l'exploitation

Une vulnérabilité de confusion de types a été identifiée comme la cause principale par Flow. La vulnérabilité permettait à l'attaquant d'éviter les vérifications de sécurité de l'exécution en déguisant un actif protégé en une structure de données ordinaire. L'attaquant a coordonné l'exécution d'environ 40 contrats intelligents malveillants.

L'attaque a commencé au bloc 137 363 398 le 26 décembre 2025 à 23h25 PST. Quelques minutes après le premier déploiement, la production de jetons contrefaits a commencé. L'attaquant a utilisé des structures de données standard reproductibles pour déguiser des actifs protégés qui auraient dû être incopiables. En tirant parti de la sémantique « move-only » de Cadence, cela a rendu possible la contrefaçon de jetons.

Cadence et un environnement entièrement équivalent à l'EVM sont les deux environnements de programmation intégrés gérés par Flow. Dans ce cas, l'exploitation visait Cadence.

Réseau hors ligne dans les six heures suivant la première transaction malveillante

Le 27 décembre, au bloc 137 390 190, les validateurs de Flow ont lancé une pause coordonnée du réseau à 05h23 PST. Toutes les voies de fuite ont été coupées, et l'arrêt s'est produit moins de six heures après la première transaction malveillante.

Des FLOW contrefaçons étaient transférés vers des comptes de dépôt d’échanges centralisés au 26 décembre à 23h42 PST. En raison de leur taille et de leur irrégularité, la plupart des gros transferts FLOW envoyés aux échanges ont été gelés à leur réception. À partir de 00h06 PST le 27 décembre, quelques actifs ont été transférés hors réseau via Celer, deBridge et Stargate.

À 01h30 PST, les premiers signaux de détection ont été émis. À ce stade, les dépôts d'échanges ont été corrélés avec des mouvements anormaux de FLOW entre machines virtuelles. Alors que les FLOW contrefaits étaient liquidés à partir de 1h00 PST, les échanges centralisés ont fait face à une pression de vente significative.

Les échanges retournent 484 millions de jetons FLOW contrefaits

Selon Flow, l'attaquant a déposé 1,094 milliard de FLOW fictifs sur plusieurs échanges centralisés. Les partenaires d'échanges Gate.io, MEXC et OKX ont restitué 484 434 923 FLOW, qui ont été détruits. 98,7 % de l'offre restante de marchandises contrefaites a été isolée sur la chaîne et est en cours de destruction. Une résolution complète est prévue dans 30 jours, et la coordination avec d'autres partenaires d'échanges est toujours en cours.

Après que la communauté a évalué plusieurs options de récupération, y compris la restauration des points de contrôle, la stratégie de récupération a été choisie. Flow a tenu des consultations à l'échelle de l'écosystème avec des partenaires d'infrastructure, des opérateurs de ponts et des échanges.

L'exploitation de 3,9 millions de dollars de Flow s'est produite dans un schéma similaire d'incidents de sécurité affectant les protocoles de cryptomonnaies à la fin de décembre 2025 et au début de janvier 2026. BtcTurk a subi une brèche de portefeuille chaud de 48 millions de dollars le 1er janvier 2026. Les pirates ont compromis l'infrastructure du portefeuille chaud de l'échange centralisé et ont détourné des fonds à travers Ethereum, Arbitrum, Polygon et d'autres chaînes.

Binance a connu un incident de manipulation de compte de market maker le 1er janvier impliquant le token BROCCOLI.