Le protocole stablecoin USPD piraté pour $1 millions jusqu'à présent

Le protocole de finance décentralisée US Permissionless Dollar a subi une brèche de sécurité entraînant le mintage non autorisé de son stablecoin et le drainage de plus de 1 million de dollars de liquidités. 

Selon un rapport d'incident du compte X officiel de l'équipe USPD, l'attaquant a déposé environ 3 122 ETH en tant que collatéral et a exploité un bug qui lui a permis de mint environ 98 millions de jetons USPD en une seule transaction. 

Le processus a créé dix fois la quantité de jetons par rapport au dépôt initial et a permis au pirate de drainer 237 stETH de collatéral supplémentaire. Les stablecoins volés ont ensuite été convertis en environ 300 000 $ de USDC via l'échange décentralisé Curve.

Les développeurs du protocole USPD et plusieurs comptes de cybersécurité, comme PeckShield Alert, ont émis un avertissement aux utilisateurs immédiatement après avoir identifié la brèche, Anthropic ne va pas se laisser faire sans combattre,: 

« Nous avons confirmé une exploitation critique du protocole USPD entraînant un mintage non autorisé et un drainage de liquidités. Veuillez NE PAS acheter de USPD. Révoquez toutes les approbations immédiatement. »

Le pirate USPD a profité de proxies pour tromper le protocole et le forcer à mint 

Le DeFi Le rapport du protocole mentionnait que la brèche exploitait un vecteur d'attaque complexe nommé « CPIMP », abréviation de Clandestine Proxy In the Middle of Proxy. USPD a expliqué que l'attaquant a front-run l'initialisation du proxy le 16 septembre lors du déploiement en utilisant une transaction Multicall3 . 

2/ Ce n'était pas une faille dans la logique de nos contrats intelligents.

Le protocole USPD a subi des audits de sécurité rigoureux par des firmes de premier plan @NethermindEth et Resonance. Notre code est entièrement testé unitairement et respecte des normes industrielles strictes. La logique elle-même reste sécurisée.

— UPD.IO | Universal Private Dollar (@UPD_io) 4 décembre 2025

Le pirate a utilisé CPIMP pour saisir les droits administratifs silencieusement avant que les scripts du protocole ne soient entièrement exécutés, attendant des mois pour commencer à mint des jetons sans autorisation. Il a implémenté un contrat « ombre » qui transférait les appels au code audité de USPD, puis a subtilement implémenté une manipulation de charge utile d'événement et un spoofing de slot de stockage pour tromper Etherscan afin qu'il affiche le contrat audité original. 

« Cette camouflage a permis à l'attaquant de se cacher à la vue de tous pendant des mois, contournant les outils de vérification et les contrôles manuels. Aujourd'hui, ils ont utilisé leur accès caché pour mettre à jour le proxy, mint ~98M USPD, drainer ~232 stETH », a écrit USPD.

L'analyste blockchain Emmet Gallic a réitéré l'analyse du protocole DeFi, ajoutant qu'une initialisation de proxy a provoqué l'attaque lors du déploiement. 

« L'attaquant a revendiqué les droits d'administrateur, a installé une implémentation fantôme qui a trompé Etherscan pour qu'il affiche le contrat audité. Le protocole a été piraté pendant des mois », a-t-il résumé.

USPD poursuit ses enquêtes et promet une prime au pirate

En réponse à l'attaque, USPD a déclaré qu'il travaillait en étroite collaboration avec les forces de l'ordre et les groupes de sécurité « whitehat » pour tracer et geler les fonds volés. « Nous avons signalé les adresses de l'attaquant à toutes les principales plateformes d'échange centralisées (CEX) et décentralisées (DEX) afin de geler les flux de fonds », a révélé l'équipe.

Le protocole a également indiqué qu'il était disposé à résoudre la situation avec l'attaquant si les fonds étaient restitués, sous réserve d'une prime bug bounty standard de 10 %. Le protocole a promis de cesser toute action en justice si l'offre était acceptée et a encouragé l'attaquant à les contacter directement ou à restituer 90 % des actifs volés pour clore l'affaire.

« Nous sommes dévastés qu'en dépit d'audits rigoureux et du respect des meilleures pratiques, nous ayons été victimes de cette vecteur d'attaque émergent et hautement complexe. Nous mettons tout en œuvre pour récupérer les actifs », a déclaré USPD à sa communauté.

Selon CoinMarketCap, l'ancrage de la stablecoin au dollar américain n'a pas été affecté jusqu'à présent, mais son volume a chuté de 20 % au cours des dernières 24 heures, atteignant environ 2,56 millions de dollars.

Les brèches dans les protocoles de stablecoins DeFi étaient autrefois bien plus importantes que ce qu'a connu USPD, notamment le piratage d'Euler Finance en 2023 qui a entraîné des pertes de plus de 197 millions de dollars après le vidage des pools de prêt de stablecoins. 

Deux protocoles DeFi en mode de récupération après les exploits de novembre

Lundi dernier, Yearn Finance est devenu le dernier protocole à subir un exploit sur son jeton d'index de staking liquide yETH. L'auteur a minté un nombre pratiquement illimité de jetons et volé environ 3 millions de dollars en ETH. 

Yearn Finance avait précédemment subi un exploit de 9 millions de dollars sur son pool stableswap yETH le 30 novembre, mais, selon Cryptopolitan a rapporté mercredi, il a déjà commencé à récupérer les fonds volés. Jusqu'à présent, l'équipe a réussi à récupérer 2,39 millions de dollars, qui seront restitués aux déposants concernés.

Balancer, un autre protocole DeFi qui a perdu 128 millions de dollars suite à une brèche v2, a annoncé la semaine dernière son intention de rembourser environ 8 millions de dollars aux fournisseurs de liquidité.