Une seule mauvaise configuration d’oracle a suffi. Le 23 juillet 2026, le piratage de Solido Money a retiré environ 293,7 millions de jetons SUPRA du protocole en deux vagues d’attaque distinctes — et en quelques jours, les analyses on-chain avaient retracé la majeure partie de ces fonds vers des infrastructures d’échanges centralisés, une part significative pointant vers une adresse de dépôt Gate.io présumée.
Summary
Points clés à retenir
- Le piratage de Solido Money a vidé environ 293,7 millions de jetons SUPRA via une vulnérabilité de mauvaise affectation d’oracle qui a entraîné une surévaluation massive des garanties.
- Deux vagues d’exploitation ont permis de frapper au total 809 052 jetons CASH, qui ont été vendus contre des SUPRA en tant que produit net.
- Environ 84 % des jetons volés — soit environ 246,9 millions de SUPRA — ont été retracés vers des infrastructures d’échanges centralisés.
- Environ 220 millions de SUPRA ont été liés à une adresse de dépôt Gate.io présumée, bien que les données de la blockchain seules ne puissent pas confirmer la propriété de la plateforme.
- Solido a appliqué des correctifs au niveau des contrats désactivant la voie de mint exploitée et demande aux échanges de geler les fonds signalés et de conserver les enregistrements pour les forces de l’ordre.
Le piratage de Solido Money vide 293,7 millions de jetons SUPRA
L’exploit ne reposait pas sur une injection de code sophistiquée ni sur une attaque cryptographique inédite. Il a exploité quelque chose de plus fondamental : une faille dans la manière dont le protocole attribuait une valeur aux garanties. La mauvaise affectation de l’oracle a amené le système à croire que les garanties déposées valaient près d’un dollar américain alors que leur prix de marché réel n’en représentait qu’une fraction. Une fois cet écart de prix en place, le reste a suivi logiquement — et de manière très rentable pour l’attaquant.
Comment l’exploit a fonctionné
Avec des garanties artificiellement gonflées en valeur, l’attaquant a frappé des jetons CASH bien au-delà de ce que les garanties réelles pouvaient justifier. Ces jetons CASH ont ensuite été vendus contre des SUPRA, transformant une illusion de prix en avoirs réels en jetons. La société de sécurité blockchain PeckShield a confirmé l’attaque et a indiqué qu’environ 90 % des fonds affectés appartenaient à la Supra Foundation, ce qui signifie que les pertes étaient fortement concentrées plutôt que réparties entre les utilisateurs particuliers.
L’attaque s’est déroulée en deux vagues. La première a été exécutée dans une seule transaction atomique — rapide, nette et difficile à interrompre. La deuxième vague est survenue quelques heures plus tard, répétée manuellement sur cinq portefeuilles distincts en utilisant la même technique. Ensemble, les deux vagues ont frappé 809 052 jetons CASH et généré 293,7 millions de SUPRA en produit net.
Ce qui rend cela particulièrement significatif, c’est la deuxième vague. Le rapport post-incident de Solido a indiqué que le simple fait de désactiver le front-end du protocole ne suffisait pas à l’arrêter. La vulnérabilité existait au niveau du contrat — c’est précisément là que le correctif a finalement dû être appliqué.
Traçage des fonds volés vers les échanges centralisés
Environ 84 % des SUPRA volés — soit environ 246,9 millions de jetons — ont été retracés vers des infrastructures d’échanges centralisés grâce à l’analyse on-chain. Cela réduit considérablement la fenêtre de récupération, car les plateformes centralisées détiennent les clés de l’identité des utilisateurs d’une manière que les protocoles décentralisés ne peuvent pas.
Le lien avec Gate.io
Pour la première vague d’exploitation, le rapport médico-légal de Solido a retracé environ 220 millions de SUPRA vers une adresse de dépôt Gate.io présumée. Le protocole a pris soin de préciser que les données de la blockchain seules ne peuvent pas confirmer si cette adresse appartient à Gate.io — seul l’échange lui-même peut le vérifier. Un second point de contact avec un échange a été identifié en lien avec la vague ultérieure, où les fonds ont été déposés dans ce qui semblait être une infrastructure d’échange spécifique à un client avant d’être transférés vers un portefeuille omnibus.
Cette distinction est importante. Le chemin qui mène des fonds volés aux portefeuilles omnibus des échanges est une route bien connue dans les cas de vol de crypto — une fois que les actifs atteignent un pool omnibus, ils deviennent beaucoup plus difficiles à isoler sans la coopération directe de l’échange. Le temps est ici un facteur réel.
Mesures de réponse et correctifs de sécurité
La réponse de Solido s’est articulée autour de deux axes parallèles : un appel public aux échanges et un correctif technique au niveau des contrats.
Demandes aux échanges de geler les fonds et de conserver les enregistrements
Solido a officiellement demandé aux échanges de confirmer si les adresses signalées appartiennent à leurs plateformes, de bloquer tout dépôt retracé et de conserver les enregistrements de compte pour un éventuel usage par les forces de l’ordre. Le protocole a précisé qu’il ne demande pas de gels généralisés sur des comptes de clients non liés et n’accuse aucun échange d’avoir sciemment facilité l’attaque. La demande est ciblée et procédurale — le type de coopération qui précède généralement un signalement formel aux forces de l’ordre.
Correctifs au niveau des contrats désactivant la voie de mint vulnérable
Sur le plan technique, des correctifs au niveau des contrats ont été appliqués pour désactiver la voie de mint que l’attaquant avait exploitée. La deuxième vague de l’attaque a démontré pourquoi les restrictions au niveau du front-end sont insuffisantes lorsque la logique sous-jacente du smart contract reste vulnérable — corriger l’interface sans traiter le contrat aurait laissé la porte ouverte. Le correctif s’attaque à la cause profonde : la mauvaise affectation de l’oracle qui a permis la surévaluation des garanties dès le départ.
L’implication plus large ici est connue mais reste constamment sous-estimée dans la DeFi : l’intégrité des oracles, c’est la sécurité du protocole. Lorsque le flux de prix est erroné, tous les calculs en aval — ratios de collatéral, seuils de liquidation, montants pouvant être frappés — héritent de cette erreur. Un seul oracle mal affecté a, en pratique, réécrit les hypothèses économiques du protocole en temps réel, et l’attaquant était prêt à en tirer parti.
Pour Solido, la voie de la récupération passe désormais presque entièrement par la coopération des échanges. Avec 900 000 $ de pertes estimées et la TVL du protocole s’élevant à environ 950 000 $ après l’attaque, les enjeux financiers sont réels mais non catastrophiques à l’échelle du système. Ce qui importe davantage, c’est la rapidité avec laquelle les échanges répondront pour geler les dépôts signalés avant que les fonds ne se déplacent davantage — une course entre la vitesse des analyses médico-légales et la prochaine transaction de l’attaquant.
FAQ
Comment le piratage de Solido Money s’est-il produit ?
L’attaquant a exploité une faille de mauvaise affectation d’oracle qui a massivement surévalué les garanties au sein du protocole, lui permettant de frapper des jetons CASH adossés à des garanties valant bien moins que ce que le système croyait. Ces jetons ont ensuite été vendus contre des SUPRA, transformant l’erreur de tarification en gains réels en jetons.
Quelle part des jetons SUPRA volés a été retracée vers des échanges ?
Environ 84 % du montant total volé — soit environ 246,9 millions de SUPRA — ont été retracés vers des infrastructures d’échanges centralisés grâce à l’analyse on-chain menée par Solido Money.
Quelles mesures Solido Money a-t-il prises après le piratage ?
Solido a appliqué des correctifs au niveau des contrats pour désactiver la voie de mint exploitée et a officiellement demandé aux échanges de geler les fonds signalés et de conserver les enregistrements de compte pour d’éventuelles procédures impliquant les forces de l’ordre.
Solido accuse-t-il les échanges de complicité dans le piratage ?
Non. Solido a explicitement précisé qu’il n’accuse aucun échange d’avoir sciemment aidé l’attaquant et ne demande pas de gels généralisés sur des comptes non liés. Les demandes sont ciblées sur des adresses spécifiques signalées à la suite du traçage on-chain.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Comment le piratage de Solido Money s’est-il produit ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »L’attaquant a exploité une faille de mauvaise affectation d’oracle qui a massivement surévalué les garanties au sein du protocole, lui permettant de frapper des jetons CASH adossés à des garanties valant bien moins que ce que le système croyait. Ces jetons ont ensuite été vendus contre des SUPRA, transformant l’erreur de tarification en gains réels en jetons. »}},{« @type »: »Question », »name »: »Quelle part des jetons SUPRA volés a été retracée vers des échanges ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Environ 84 % du montant total volé — soit environ 246,9 millions de SUPRA — ont été retracés vers des infrastructures d’échanges centralisés grâce à l’analyse on-chain menée par Solido Money. »}},{« @type »: »Question », »name »: »Quelles mesures Solido Money a-t-il prises après le piratage ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Solido a appliqué des correctifs au niveau des contrats pour désactiver la voie de mint exploitée et a officiellement demandé aux échanges de geler les fonds signalés et de conserver les enregistrements de compte pour d’éventuelles procédures impliquant les forces de l’ordre. »}},{« @type »: »Question », »name »: »Solido accuse-t-il les échanges de complicité dans le piratage ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. Solido a explicitement précisé qu’il n’accuse aucun échange d’avoir sciemment aidé l’attaquant et ne demande pas de gels généralisés sur des comptes non liés. Les demandes sont ciblées sur des adresses spécifiques signalées à la suite du traçage on-chain. »}}]}
Article produit avec l’assistance de l’intelligence artificielle et relu par l’équipe éditoriale.
