Makina a été exploité pour 4,13 millions de dollars, le pool CurveStable DUSD/USDC vidé
- Makina Finance subit une exploitation de 4,13 millions de dollars après que son pool Curve DUSD/USDC a été vidé par une attaque de manipulation d'oracle.
- Les sociétés de sécurité détaillent comment les prêts flash, la distorsion des prix et le front-running MEV ont façonné le vol sur la chaîne.
- Makina active ses mesures de sécurité tandis que les analystes suivent l'ETH volé à travers deux portefeuilles principaux.
Makina, un protocole de finance décentralisée avec exécution automatisée, a subi une exploitation tôt mardi matin qui a vidé son pool de liquidités DUSD/USDC sur Curve, selon le cabinet de sécurité blockchain PeckShield.
Makina Finance aurait perdu environ 1 299 Ether de son pool de stablecoin Curve au profit des pirates. Il était évalué à environ 4,13 millions de dollars au moment des faits. Selon l'analyse de Peckshield, les attaquants ont enfreint les fournisseurs de liquidités non gardiens du protocole sur le pool CurveStable DUSD/USDC, qui utilise un flux de données de prix on-chain via un oracle.
Les oracles fournissent aux contrats intelligents des informations externes, telles que les prix des actifs, que les pirates ont exploitées en milieu de transaction et ont retiré les jetons à un taux artificiellement favorable.
Le pirate de Makina a utilisé des prêts flash pour soutirer $5 million
Selon un ingénieur en sécurité de CertiK, l'auteur a commencé par emprunter 280 millions de USDC sans garantie initiale, à condition que les fonds soient remboursés dans la même transaction.
Sur le montant emprunté, environ 170 millions de USDC ont été utilisés pour interférer avec MachineShareOracle, qui est responsable de la déclaration des prix des actions au pool. Après avoir injecté du capital emprunté via un prêt flash, ils ont pu fausser temporairement les données de prix de l'oracle et le tromper en lui faisant croire à des informations de prix inexactes.
🚨 Une autre exploitation aujourd'hui (4.1M) :
Flashloan + rafraîchissement AUM sans permission est une combinaison dangereuse.
Un oracle de prix des actions a été poussé en milieu de transaction, permettant à un pool Curve de payer à un taux gonflé. ~5,1M USDC ont quitté le pool DUSD/USDC, l'attaquant a réalisé un profit d'environ 4,1M. pic.twitter.com/t4RKYoUWDl
— n0b0dy (@nn0b0dyyy) janvier 20, 2026
Lorsque l'oracle a commencé à signaler des valeurs gonflées, l'attaquant a échangé environ 110 millions de USDC contre un pool qui ne détenait qu'environ 5 millions de dollars de liquidités. Puisque le pool croyait que les actifs valaient plus qu'ils ne le faisaient réellement, il a payé bien plus que ce qu'il aurait dû et s'est vidé.
« Un oracle de prix des actions a été poussé en milieu de transaction, permettant à un pool Curve de payer à un taux gonflé. ~5,1M USDC ont quitté le pool DUSD/USDC, l'attaquant a réalisé un profit d'environ 4,1M », a déclaré l'ingénieur en sécurité.
Makina Finance a été lancé en février dernier, se présentant comme un moteur d'exécution DeFi de qualité institutionnelle. Selon les données de DeFiLlama, le protocole détient environ 100,49 millions de dollars de valeur totale verrouillée.
Le constructeur MEV a réduit les chiffres de l'exploitation de Makina de $800k
Le pirate a pris les produits DUSD et les a échangés en ether, exécutant plusieurs transactions pour consolider et repositionner les actifs. Cependant, selon CertiK, la transaction d'exploitation a été partiellement devancée par un MEV constructeur.
La valeur extractible maximale (MEV) est le profit que les constructeurs de blocs et les validateurs peuvent maximiser en réordonnant, injectant et censurant les transactions avant leur traitement on-chain. Dans ce cas, une entité MEV identifiée par le préfixe d'adresse 0xa6c2 a accumulé la majorité de la valeur à mesure que l'exploitation se déroulait.
CertiK a estimé que le constructeur MEV a saisi environ 4,14 millions de dollars sur les 5 millions qu'ils avaient retirés du pool de stablecoin.
Le routage MEV a divisé l'ether restant entre deux adresses : la première (0xbed) détenait 3,3 millions de dollars en ETH, et l'autre (0x573d) détenait environ 276 ETH.
Vers 6:42 UTC mardi, Makina Finance a écrit un déclaration sur X reconnaissant le piratage mais a insisté sur le fait que le problème n'affectait pas l'infrastructure entière du protocole.
Gmak, tôt ce matin, nous avons reçu des rapports concernant un incident avec le pool $DUSD Curve
À ce stade, le problème semble isolé aux positions LP DUSD sur Curve. Il n'y a actuellement aucune indication que d'autres actifs ou déploiements soient affectés.
Les actifs sous-jacents détenus dans…
— Makina (@makinafi) janvier 20, 2026
Makina a également demandé aux fournisseurs de liquidités du pool Curve DUSD de retirer leurs liquidités alors qu'il détermine « les prochaines étapes appropriées pour les utilisateurs et les LP affectés ». L'équipe a également promis de fournir à la communauté plus de mises à jour dès que l'examen de l'incident sera terminé.
L'attaque par prêt flash du protocole DeFi annonce la fin d'une année que les utilisateurs de crypto espéraient quitter indemnes, après un 2025 terrible qui a vu plus de 3 milliards de dollars volés sur le marché.
Un rapport sur la sécurité et la fraude Web3 de Cyvers a documenté 108 incidents liés à la fraude et à la sécurité l'année dernière, et environ 16 milliards de dollars d'actifs crypto escroqués d'au moins 140 échanges et plateformes de trading.
Cyvers a également signalé plus de 4,2 millions de transactions frauduleuses provenant de 780 000 adresses et de près de 19 000 réseaux de fraude actifs, impliquant des actifs tels que USDT, ETH et USDC.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Florence Muchai
Florence couvre depuis 6 ans l'actualité crypto, du jeu vidéo, de la technologie et de l'IA. Ses études en informatique à l'Université de sciences et technologies de Meru et sa formation en gestion des catastrophes et en diplomatie internationale à l'MMUST lui ont amplement permis de développer des compétences linguistiques, d'observation et techniques. Florence a travaillé au sein du groupe VAP et en tant qu'éditrice pour plusieurs médias spécialisés dans la crypto.
