La finance décentralisée (DeFi) traverse une semaine noire avec trois protocoles majeurs – Balancer V1, Float Protocol et Tectonic – victimes de piratages en moins de 72 heures. Selon nos confrères de Cryptoast, les pertes cumulées dépassent les 120 millions de dollars, illustrant une fois de plus la vulnérabilité persistante des infrastructures décentralisées face aux attaques ciblées.
Ce qu'il faut retenir
- 234 000 dollars détournés sur Balancer V1 via une faille d’arrondi dans un pool déprécié mais toujours actif
- 28 000 dollars perdus par Float Protocol après une manipulation d’oracle Uniswap V3
- 75 millions de dollars (estimation) dérobés sur Tectonic, avec une suspension de la blockchain Cronos
- Cinq exploits recensés en cinq jours, dont Moonwell (8,7 millions) et More Markets (9,3 millions)
- Mêmes mécanismes d’attaque : manipulation de prix via flash loans, oracles non sécurisés ou code hérité vulnérable
Balancer V1 visé par une faille historique
Le protocole Balancer a subi une nouvelle attaque le 31 août 2026 sur sa version V1, pourtant officiellement dépréciée depuis plusieurs années. Selon l’équipe de sécurité SlowMist, environ 234 000 dollars ont été détournés depuis un pool liquidity provider (LP) toujours actif. L’exploit repose sur une erreur d’arrondi dans la fonction joinswapPoolAmountOut, permettant à un attaquant de créer artificiellement des parts de pool (BPT) à partir d’un seul satoshi de WBTC avant de vider le pool de ses actifs (DPI, USDC, WETH, WBTC).
« Nous avons identifié un bug dans les contrats hérités de Balancer V1 permettant de drainer les fonds des fournisseurs de liquidité. Ces pools sont obsolètes et ne peuvent pas être pausés. Les utilisateurs sont invités à retirer leurs fonds proportionnellement », a indiqué l’équipe de Balancer dans un communiqué publié sur X (ex-Twitter).
Float Protocol victime d’un oracle non sécurisé
Le même jour, Float Protocol a subi une perte de 28 000 dollars (10,71 ETH) après qu’un attaquant ait exploité une faille dans ses vaults Hypervisor. Le protocole utilisait directement le prix spot (slot0) d’un pool Uniswap V3 sans validation via un oracle TWAP (moyenne pondérée dans le temps), une pratique désormais considérée comme risquée dans l’écosystème.
L’attaquant a utilisé un flash loan pour manipuler temporairement le prix du pool, puis enchaîné dépôts et retraits pour extraire la valeur créée par ce déséquilibre. SlowMist a confirmé la perte et pointé du doigt l’absence de protection contre le slippage et de validation des prix. Ce mécanisme rappelle une attaque similaire subie par Gamma Strategies en janvier 2024.
Tectonic : le piratage le plus coûteux de la semaine
La veille, le protocole de prêt Tectonic, déployé sur la blockchain Cronos, a été victime du plus important exploit de la semaine. Les premières estimations évoquaient un montant détourné pouvant atteindre 75 millions de dollars, bien que Tectonic et Cronos n’aient pas encore confirmé ce chiffre. L’attaquant aurait artificiellement fait bondir le prix du token TONIC – faiblement liquide – de près de 100 fois en vingt minutes avant de l’utiliser comme collatéral pour emprunter massivement d’autres actifs.
Avant l’exploit, Tectonic affichait un Total Value Locked (TVL) d’environ 122 millions de dollars, dont 83 millions de prêts actifs. En réaction, Crypto.com – qui opère la blockchain Cronos – a gelé la chaîne, laissant 69 millions de dollars bloqués on-chain. Seuls 6 millions auraient été transférés vers Ethereum. L’application mobile et la plateforme d’échange de Crypto.com n’ont pas été affectées.
Une série d’attaques révélatrice de vulnérabilités structurelles
Selon plusieurs analystes on-chain, ces trois piratages s’inscrivent dans une vague plus large : cinq exploits ont été recensés en cinq jours, touchant également Moonwell (8,7 millions) et More Markets (9,3 millions). Tous ces protocoles partagent un point commun : des entrées de prix manipulables, qu’il s’agisse d’oracles non sécurisés, de réserves insuffisantes ou de code hérité laissé sans surveillance.
Les scanners automatisés, comme ceux de SlowMist ou Coin Bureau, passent désormais l’écosystème DeFi au crible à la recherche de ces vulnérabilités connues. Certaines attaques ne rapportent que quelques milliers de dollars, mais suffisent à fragiliser la confiance des investisseurs.
« Les protocoles DeFi doivent impérativement auditer leurs contrats pour détecter les failles d’arrondi, les dépendances aux oracles non sécurisés ou les pools dépréciés toujours actifs. Ces erreurs sont désormais bien documentées, mais leur répétition montre que les bonnes pratiques ne sont pas toujours appliquées. » – Analyste anonyme spécialisé en sécurité blockchain
Cette nouvelle série noire rappelle celle de novembre 2025, où Balancer avait perdu 128 millions de dollars sur six chaînes en l’espace de quelques heures. Bref, la DeFi doit désormais faire face à un paradoxe : plus elle se démocratise, plus elle attire des acteurs malveillants exploitant des failles techniques connues – et souvent évitables.
Balancer n’a pas désactivé ces pools pour des raisons de compatibilité avec d’anciennes applications ou des contrats non mis à jour. L’équipe a indiqué dans un communiqué que ces pools « ne peuvent pas être pausés » et invite les utilisateurs à retirer leurs fonds manuellement via l’interface dédiée.
Les utilisateurs de la DeFi doivent systématiquement vérifier l’état des contrats (audits récents, date de déploiement) et éviter d’interagir avec des protocoles obsolètes. Les plateformes comme SlowMist ou CertiK publient des alertes en temps réel sur les vulnérabilités connues. Enfin, la diversification des actifs et l’utilisation de portefeuilles matériels réduisent l’exposition aux risques de piratage.
