Le 28 ao\u00fbt<\/strong>, un attaquant a exploit\u00e9 un contrat de carte Rain obsol\u00e8te, siphonnant environ 1,1 million de dollars<\/strong> de plusieurs programmes de cartes en stablecoin op\u00e9rant sur Solana, selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 blockchain Blockaid<\/strong>. Parmi les n\u00e9obanques crypto touch\u00e9es, on retrouve Avici<\/strong> et Tria<\/strong>, qui ont signal\u00e9 des pertes combin\u00e9es de plus de 932 800 dollars<\/strong> sur 2 321 utilisateurs<\/strong>.<\/p>\n Blockaid a \u00e9galement indiqu\u00e9 que d’autres programmes soutenus par Rain \u00e9taient expos\u00e9s, portant la perte totale estim\u00e9e \u00e0 environ 1,1 million de dollars<\/strong>. L’attaquant n’a pas eu acc\u00e8s aux portefeuilles auto-g\u00e9r\u00e9s des clients ni \u00e0 leurs cl\u00e9s priv\u00e9es. Au lieu de cela, l’exploitation a cibl\u00e9 des contrats de garantie d\u00e9tenant des stablecoins que les utilisateurs avaient d\u00e9pos\u00e9s pour financer leurs soldes de cartes.<\/p>\n Rain a d\u00e9clar\u00e9 que ses syst\u00e8mes de surveillance avaient d\u00e9tect\u00e9 une vuln\u00e9rabilit\u00e9 affectant un \u00ab\u00a0petit nombre de programmes<\/em>\u00a0\u00bb utilisant une version obsol\u00e8te de son contrat de carte Solana. La soci\u00e9t\u00e9 a mis \u00e0 jour chaque programme encore en cours d’ex\u00e9cution avec la version affect\u00e9e, selon sa d\u00e9claration publique.<\/p>\n L’incident soul\u00e8ve des pr\u00e9occupations plus larges concernant les vuln\u00e9rabilit\u00e9s des contrats et des op\u00e9rations. Les \u00e9checs de s\u00e9curit\u00e9 dans le secteur des cryptomonnaies ont caus\u00e9 environ 1,1 milliard de dollars<\/strong> de pertes au cours du premier semestre 2026, selon des recherches publi\u00e9es par Blockaid.<\/p>\n \u00ab\u00a0Lorsque les clients financent leurs cartes, les actifs d\u00e9pos\u00e9s sont transf\u00e9r\u00e9s dans des comptes de garantie g\u00e9r\u00e9s par des contrats on-chain. Ces soldes sont s\u00e9par\u00e9s des actifs d\u00e9tenus dans les portefeuilles personnels des clients.\u00a0\u00bb<\/p>\n<\/blockquote>\n Une fois que les fonds sont dans un contrat de garantie de carte, leur s\u00e9curit\u00e9 d\u00e9pend du code et des contr\u00f4les d’autorisation du fournisseur d’infrastructure. Blockaid a identifi\u00e9 quatre d\u00e9ploiements contenant du code avec le m\u00eame hachage d’opcode que le contrat vuln\u00e9rable. La soci\u00e9t\u00e9 de s\u00e9curit\u00e9 a d\u00e9clar\u00e9 que l’attaquant avait siphonn\u00e9 des fonds d’au moins deux d\u00e9ploiements.<\/p>\n Le contrat Rain obsol\u00e8te n\u00e9cessitait deux autorisations ind\u00e9pendantes avant de permettre certaines actions de compte, utilisant les instructions de v\u00e9rification Ed25519<\/strong> de Solana pour confirmer les signatures requises. Selon l’analyse de Blockaid, l’attaquant a manipul\u00e9 la deuxi\u00e8me instruction de v\u00e9rification.<\/p>\n Apr\u00e8s avoir contourn\u00e9 la v\u00e9rification de signature, l’attaquant a utilis\u00e9 une instruction AddCollateralAdmin<\/strong> pour se donner des privil\u00e8ges administratifs sur des comptes individuels, puis a appel\u00e9 WithdrawCollateralAsset<\/strong> pour transf\u00e9rer des USDC et des USDT de ces comptes. Blockaid a enregistr\u00e9 2 945 ajouts d’administrateurs<\/strong> et 5 288 appels de retrait<\/strong>, identifiant 8 233 transactions d’exploitation principales<\/strong> sur une p\u00e9riode d’environ deux heures et 29 minutes.<\/p>\n Les clients n’ont pas autoris\u00e9 les transactions malveillantes, l’exploitation se produisant au niveau du contrat, ce qui signifie que les protections contre le phishing ou les signatures de portefeuille malveillantes n’auraient pas emp\u00each\u00e9 ces retraits.<\/p>\n Les USDC et USDT retir\u00e9s se sont accumul\u00e9s dans un portefeuille Solana identifi\u00e9 comme FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj<\/strong>. L’attaquant a \u00e9chang\u00e9 les stablecoins contre des SOL via des plateformes de trading d\u00e9centralis\u00e9es. Blockaid a ensuite retrac\u00e9 les produits de Solana \u00e0 Ethereum via le protocole cross-chain de deBridge<\/strong>.<\/p>\n Environ 455,9 ETH<\/strong> ont \u00e9t\u00e9 transf\u00e9r\u00e9s dans Tornado Cash<\/strong>, rendant ainsi les mouvements ult\u00e9rieurs plus difficiles \u00e0 tracer \u00e0 travers les enregistrements de blockchain publics. Blockaid a d\u00e9clar\u00e9 que les fonds vol\u00e9s n’avaient pas \u00e9t\u00e9 r\u00e9cup\u00e9r\u00e9s apr\u00e8s leur entr\u00e9e dans Tornado Cash.<\/p>\n Avici a rapport\u00e9 que l’attaquant avait retir\u00e9 500 859,22 dollars<\/strong> des soldes de cartes appartenant \u00e0 1 685 utilisateurs<\/strong>. La soci\u00e9t\u00e9 a d\u00e9clar\u00e9 avoir rembours\u00e9 tous les clients affect\u00e9s et fourni un cashback de 10 %<\/strong> apr\u00e8s l’incident. Tria a divulgu\u00e9 environ 431 945 dollars<\/strong> de pertes sur 636 clients<\/strong>, pr\u00e9cisant dans une mise \u00e0 jour officielle que chaque client affect\u00e9 \u00e9tait en cours de remboursement.<\/p>\n Les deux divulgations repr\u00e9sentent 932 804,22 dollars<\/strong> des pertes estim\u00e9es. La diff\u00e9rence entre les pertes divulgu\u00e9es d’Avici et de Tria et l’estimation de 1,1 million de dollars<\/strong> de Blockaid semble impliquer d’autres programmes soutenus par Rain.<\/p>\n Plusieurs questions demeurent sans r\u00e9ponse. Rain n’a pas publi\u00e9 l’historique complet de la version du contrat vuln\u00e9rable, la date \u00e0 laquelle la faille a \u00e9t\u00e9 introduite ou la raison pour laquelle les anciens d\u00e9ploiements sont rest\u00e9s actifs. La soci\u00e9t\u00e9 n’a pas non plus divulgu\u00e9 si un audit avait identifi\u00e9 la faille d’autorisation avant l’attaque.<\/p>\n Cet \u00e9pisode soul\u00e8ve des questions sur l’efficacit\u00e9 des audits p\u00e9riodiques pour prot\u00e9ger les contrats une fois en production. Des recherches r\u00e9centes dans l’industrie ont r\u00e9v\u00e9l\u00e9 que les institutions souhaitent de plus en plus une surveillance continue en plus des audits de s\u00e9curit\u00e9 traditionnels, en particulier pour les contrats d\u00e9tenant des actifs des utilisateurs.<\/p>\n","protected":false},"excerpt":{"rendered":" Incident de s\u00e9curit\u00e9 sur les contrats de carte Rain Le 28 ao\u00fbt, un attaquant a exploit\u00e9 un contrat de carte Rain obsol\u00e8te, siphonnant environ 1,1 million de dollars de plusieurs programmes de cartes en stablecoin op\u00e9rant sur Solana, selon la soci\u00e9t\u00e9 de s\u00e9curit\u00e9 blockchain Blockaid. Parmi les n\u00e9obanques crypto touch\u00e9es, on retrouve Avici et Tria, qui ont signal\u00e9 des pertes combin\u00e9es de plus de 932 800 dollars sur 2 321 utilisateurs. Blockaid a \u00e9galement indiqu\u00e9 que d’autres programmes soutenus par Rain \u00e9taient expos\u00e9s, portant la perte totale estim\u00e9e \u00e0 environ 1,1 million de dollars. L’attaquant n’a pas eu acc\u00e8s aux<\/p>\n","protected":false},"author":3,"featured_media":18055,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[64],"tags":[8269,65,8316,115,21,77],"class_list":["post-18056","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-hack","tag-blockaid","tag-hack","tag-rain","tag-solana","tag-tether-usdt","tag-usdc"],"yoast_description":"Une violation de s\u00e9curit\u00e9 dans un contrat de carte Rain obsol\u00e8te a entra\u00een\u00e9 une perte de 1,1 million de dollars des soldes en stablecoin des utilisateurs, affectant plusieurs n\u00e9obanques crypto.","_links":{"self":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/18056","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/users\/3"}],"replies":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/comments?post=18056"}],"version-history":[{"count":0,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/posts\/18056\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media\/18055"}],"wp:attachment":[{"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/media?parent=18056"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/categories?post=18056"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/satoshibrother.com\/fr\/wp-json\/wp\/v2\/tags?post=18056"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Vuln\u00e9rabilit\u00e9s et cons\u00e9quences<\/h2>\n
\n
Analyse de l’attaque<\/h2>\n
Blanchiment des fonds vol\u00e9s<\/h2>\n
R\u00e9actions et remboursements<\/h2>\n
Questions en suspens<\/h2>\n