- GANA Payment sur BSC a été exploité pour plus de 3,1 millions de dollars après qu'un pirate a modifié la propriété du contrat et vidé les jetons.
- L'attaquant a blanchi les fonds via Tornado Cash et ponté des actifs entre BSC et Ethereum alors que le token de GANA s'effondrait de plus de 90 %.
- Cet incident s'ajoute à une série croissante de piratages DeFi en 2025, les projets BSC et les protocoles inter-chaînes subissant d'importantes pertes.
Un projet de paiement décentralisé sur Binance Smart Chain (BSC) appelé GANA Payment a été exploité vers 5h00 UTC jeudi, entraînant des pertes dépassant 3,1 millions de dollars, selon le chercheur en blockchain ZachXBT.
Les conclusions de l'enquêteur cryptographique ont montré que l'attaquant a utilisé une faille dans le contrat intelligent du projet pour voler des tokens. Ils les ont ensuite transférés via Tornado Cash et d'autres réseaux pour mettre en place des opérations de blanchiment d'argent.
« Le contrat d'interaction de GANA a été la cible d'une attaque externe, entraînant un vol non autorisé d'actifs… Nous continuerons à fournir des mises à jour sur l'avancement de l'enquête et les actions ultérieures par les canaux officiels », a écrit la plateforme DeFi sur X plus tôt aujourd'hui.
Plusieurs plateformes de cybersécurité sur X, dont OnChain Lens, ont signalé que l'exploitation a commencé lorsque l'attaquant a transféré 1 140 BNB, évalués à environ 1,04 million de dollars, dans Tornado Cash sur BSC.
Les actifs volés ont ensuite été pontés vers Ethereum, où 346 ETH supplémentaires, d'une valeur de 1,05 million de dollars, ont été déposés dans le mélangeur de cryptomonnaies présumé utilisé pour le blanchiment.
Les enregistrements de blockchain partagés par ZachXBT montrent que l'adresse Ethereum utilisée pour le blanchiment était 0x7a503e3ab9433ebf13afb4f7f1793c25733b3cca. Les adresses originales du vol sur BSC ont été identifiées comme 0x2e8a…aae5c38 et 0xd10e…cc8fa4d.
Le hacker a exploité la « fonction de non-délegation » de GANA pour voler des pièces
Selon la firme de sécurité Web3 HashDit, la propriété du contrat exploité avait été modifiée, ce que le hacker a utilisé pour manipuler les taux de récompense et invoquer la fonction de non-délegation, recevant ainsi plus de tokens GANA que prévu.
🚨Alerte HashDit🚨
HashDit a surveillé que @GANA_PayFi a été compromis pour ~3,1 M$ $GANA.
Les utilisateurs NE DOIVENT PAS trader avec le token $GANA pour le moment, et attendre une annonce de l'équipe !
Les fonds ont été déposés dans TC : https://t.co/rtdjnMvYpI
Cause racine : La propriété de… pic.twitter.com/XZzuoMmf8D
— HashDit | now with Pro Extension (@HashDit) 20 novembre 2025
L'auteur a ensuite vendu rapidement les tokens sur des échanges décentralisés, dévaluant considérablement la devise du projet. Un montant total de 346 ETH détenu dans l'adresse Ethereum est resté inactif pendant plusieurs heures.
Cependant, il y a une heure, le hacker a repris le blanchiment des fonds via Tornado Cash par lots incrémentaux de 1 ETH, 10 ETH et 100 ETH, une méthode utilisée par les voleurs lors d'attaques DeFi pour « secouer » la piste des chercheurs en sécurité concernant les fonds volés.
GANA Payment est un projet de paiement de relativement petite envergure construit autour du token BEP-20 GANA. Ses opérations sont décentralisées et utilisent des pools de liquidité et des échanges, mais Cryptopolitan n'a trouvé aucune documentation technique disponible publiquement.
Le projet, lancé au début du mois de novembre, n'a pas encore publié d'audits formels ni d'analyses de sécurité détaillées. Dans le sillage de la faille, les données de GeckoTerminal ont montré que la valeur du token GANA a chuté de plus de 90 %.
Les exploitations DeFi sur BSC et Ethereum se sont refroidies en octobre
Selon le traqueur de hacks de DefiLlama, les projets plus petits basés sur BSC ont collectivement perdu plus de 100 millions de dollars rien qu'en 2025. Le hack de GANA a porté le total à près de 10 millions de dollars au cours des deux derniers mois, incluant des brèches réseau sur OlaXBT, Evoq Finance, Seedify et GriffinAI.
Cryptopolitan a rapporté en octobre, les pertes totales dues aux hacks se sont élevées à seulement 18,18 millions de dollars dans environ 15 incidents, soit une baisse de 85,7 % par rapport aux 127,06 millions de dollars de septembre. Les incidents majeurs survenus ce mois-là comprenaient les hacks de Garden Finance, Typus Finance et Abracadabra, qui ont ensemble représenté 16,2 millions de dollars de fonds volés.
Abracadabra, un protocole de prêt décentralisé et créateur du stablecoin Magic Internet Money (MIM), a subi une perte de 1,8 million de dollars lorsque les attaquants ont utilisé des failles dans la manière dont le contrat gérait les actions au sein d'une même transaction.
Typus Finance a perdu 3,4 millions de dollars en raison de faiblesses de contrôle d'accès dans son oracle de prix personnalisé, tandis que Garden Finance a subi une perte de 11 millions de dollars via un seul solveur connecté à plusieurs réseaux blockchain.
Ce mois-ci, Balancer a été ont atteint l'une des plus grandes exploitations DeFi de 2025, où l'ETH enveloppé et d'autres actifs de plusieurs réseaux ont été escroqués pendant plusieurs heures. Les enquêteurs en blockchain avaient estimé les pertes à environ 70 millions de dollars, mais lorsque les développeurs du réseau ont repris le contrôle, les pertes avaient dépassé 116 millions de dollars.
Le jour suivant, le protocole de prêt multi-chaîne Moonwell a été ont exploité via des données d'oracle défectueuses, perdant environ 1 million de dollars. L'attaquant a profité des écarts de prix pour emprunter et échanger des actifs ETH enveloppés spécifiques, empochant 295 ETH.
Selon DefiLlama de données, les hacks de ponts inter-chaînes en 2025 ont entraîné plus de 1,5 milliard de dollars de fonds volés à mi-2025, tandis que les bugs de réentrance ont causé 325 millions de dollars de pertes, en particulier sur des contrats plus anciens ou forkés. La manipulation des oracles a représenté 13 % des attaques, tandis que les vidanges de pools de liquidité ont causé 103 millions de dollars d'actifs volés.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
