- Selon les chercheurs en sécurité, l'attaque contre Thetanuts a été attribuée à une faille dans la logique de rachat du coffre-fort.
- La plupart des fonds volés auraient été récupérés grâce aux efforts de whitehats, seule une petite partie ayant été convertie en ETH par l'attaquant.
- Thetanuts affirme que ses produits et contrats intelligents actuels n'ont pas été affectés par cette exploitation.
Thetanuts Finance, le protocole d'options DeFi, a confirmé avoir subi un exploit qui a drainé 2,1 millions de dollars d'un vault hérité qui lui est lié.
Selon Thetanuts, le contrat compromis avait été rendu obsolète il y a des années.
Le firm de sécurité blockchain PeckShieldAlert, qui a signalé l'incident avant que Thetanuts ne confirme l'exploit, a rapporté qu'il semblait que 2 millions de dollars en tokens d'options aient été récupérés grâce à des efforts de whitehat.
Les fonds restants, environ 105 000 dollars en USDC, ont été échangés par l'attaquant contre environ 60 ETH, selon l'analyse on-chain de PeckShieldAlert. L'attaquant détient également 34 000 dollars en tokens d'options dénommés en USDC.
Qu'est-ce qui a conduit à l'exploitation du vault hérité de Thetanuts Finance ?
Une vulnérabilité dans la logique de rachat du vault est à l'origine de l'exploit, selon le chercheur en sécurité ExVul, qui a publié une analyse détaillée sur X.
Thetanuts Finance a répondu en quelques heures, écrivant sur X, « Notre enquête préliminaire indique qu'il s'agit encore une fois d'un vault obsolète dont nous avons migré il y a des années. »
Le protocole a déclaré : « Il n'a aucun lien avec aucun de nos contrats ou produits actuels », tout en ajoutant qu'il publierait un post-mortem complet une fois qu'il aurait rassemblé plus de détails.
Le système de détection d'exploits de Blockaid a également détecté l'attaque de manière indépendante, émettant une alerte communautaire signalant l'exploitation active du contrat Thetanuts sur Ethereum. La plateforme de sécurité a également partagé l'adresse de l'attaquant et celle du contrat exploité.
Les protocoles obsolètes sont-ils la cible d'attaques ?
L'incident Thetanuts s'ajoute à une liste croissante de protocoles obsolètes qui ont été attaqués récemment.
Le plus récent, à part Thetanuts, est Aztec Connect, un pont de confidentialité abandonné depuis 2023, qui a perdu 2,1 millions de dollars par l'intermédiaire d'une faille de vérification distincte dans ses contrats intelligents immuables, comme l'a rapporté Cryptopolitan. Dans ce cas, l'équipe avait renoncé à toutes les clés d'administration, ne laissant personne capable de corriger ou de suspendre le code.
Jusqu'à présent en juin, la valeur totale piratée en termes d'exploits DeI a dépassé 46 millions de dollars, et nous sommes seulement à mi-mois. À ce rythme, cela pourrait rivaliser ou dépasser mai, qui a connu sa juste part de brèches de protocoles.
Thetanuts a essayé d'assurer ses utilisateurs que leurs contrats actuels ne sont pas à risque ; cependant, les derniers événements ont clairement montré aux utilisateurs que le code abandonné n'est pas un code sûr, et de même pour les fonds qui y sont liés.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Que s'est-il passé dans l'exploitation de Thetanuts Finance ?
Un attaquant a exploité une faille dans les mathématiques de rachat d'un ancien coffre-fort Thetanuts Finance sur Ethereum, drainant environ 2,1 millions de dollars le 15 juin 2026. PeckShield a signalé qu'environ 2 millions de dollars en tokens d'options ont été récupérés par un whitehat, tandis que l'exploitant a échangé environ 105 000 USDC contre environ 60 ETH.
Les utilisateurs actuels de Thetanuts Finance sont-ils affectés ?
Non. Thetanuts Finance a déclaré que le coffre-fort exploité avait été déprécié il y a plusieurs années et « n'a aucun lien avec nos contrats ou produits actuels », selon le message publié par l'équipe sur X.
Quelle était la vulnérabilité qui a permis l'attaque ?
Le chercheur en sécurité ExVul a identifié la cause racine comme étant une faille dans les mathématiques de rachat de l'ancien coffre-fort, qui utilisait une formule `backing * amount / totalSupply` pour calculer les paiements des parts, permettant à l'attaquant de retirer plus de fonds que ce à quoi il avait droit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
