Piratages, bugs et exploits sur Solana : historique complet

Principaux constats et tendances

• Fréquence des incidents : 38 incidents de sécurité vérifiés sur 5 ans (2020–T1 2025), avec un pic de 15 incidents en 2022, alimenté par l’expansion de l’écosystème Solana, en particulier dans les secteurs de la DeFi et des NFT. Les exploits d’applications (26 incidents) ont prédominé, reflétant la prolifération rapide des dApps, tandis que les attaques de la chaîne d’approvisionnement sont apparues comme une nouvelle menace en 2024.
• Impact financier : les pertes brutes ont totalisé environ ~600 M$, dont ~469 M$ ont été atténués grâce à des remboursements, des récupérations et des interventions des protocoles, soit des pertes nettes de ~131 M$. Les utilisateurs ont supporté l’essentiel des pertes lors d’incidents tels que le piratage de Slope Wallet (8 M$) et l’exploit de DEXX (30 M$), même si certains protocoles ont réussi à atténuer des pertes importantes, notamment grâce au remboursement de 326 M$ par Wormhole et à la récupération de 5,8 M$ par Loopscale.
• Parties touchées : les utilisateurs ont été les principales victimes des exploits d’applications (par ex., Slope Wallet, Solareum) et des attaques de la chaîne d’approvisionnement (par ex., Web3.js, interface de Parcl), perdant des fonds détenus dans des portefeuilles et des pools de liquidité. Les attaques au niveau du réseau (par ex., l’interruption de 17 heures causée par Grape Protocol) et les vulnérabilités du protocole central (par ex., l’interruption de 5 heures liée au bug du cache JIT) ont perturbé l’ensemble de l’écosystème, touchant les utilisateurs, les dApps et les validateurs, avec des pertes indirectes dues à la volatilité du cours du SOL.
• Évolution des réponses : les délais de réponse se sont considérablement améliorés, passant de plusieurs heures ou jours en 2020–2022 (par ex., Wormhole a été corrigé en quelques heures, Cashio a été arrêté le jour même) à quelques minutes ou heures en 2024–2025 (par ex., Thunder Terminal a stoppé l’attaque en 9 minutes, Banana Gun a arrêté ses bots en quelques minutes). La vigilance de la communauté, notamment grâce aux alertes de CertiK (SVT Token) et ZachXBT (NoOnes), a accéléré la détection. Les mesures correctives sont passées de mesures réactives, comme l’arrêt des protocoles, à des stratégies proactives comprenant des audits, l’authentification à deux facteurs et la surveillance en temps réel.
• Lacunes de sécurité : les vulnérabilités persistantes comprennent les bugs de programmes (par ex., le bug de frappe illimitée de Cashio), la manipulation d’oracles (par ex., l’exploit de Mango Markets à 116 M$), la gestion des clés privées (par ex., la fuite de DEXX à 30 M$) et les dépendances tierces (par ex., la faille MongoDB de Thunder Terminal). Les incidents touchant le protocole central, comme la défaillance de Turbine (2023), soulignent la complexité de l’architecture à haut débit de Solana et la nécessité d’une validation et d’une détection des défaillances robustes. Les menaces internes (par ex., l’exploit commis par un employé de Pump.fun et le vol de 317 000 $ chez Cypher) constituent une préoccupation croissante.
• Réussite des mesures d’atténuation : des protocoles tels que Wormhole (326 M$ remboursés), Pump.fun (1,9 M$ restaurés), Banana Gun (1,4 M$ remboursés) et Loopscale (5,8 M$ récupérés) ont intégralement compensé les pertes, démontrant l’efficacité de leurs mécanismes de récupération. Raydium a partiellement indemnisé les utilisateurs (100 % pour les pools RAY, 90 % pour les pools non-RAY), tandis que d’autres, comme Cashio et Solareum, se sont effondrés faute de fonds suffisants, soulignant le besoin crucial de fonds d’assurance solides et de stratégies diversifiées de gestion des risques.

Introduction

Lancée en mars 2020 par Solana Labs, Solana associe la preuve d’historique (PoH) et la preuve d’enjeu (PoS) pour proposer une blockchain à haut débit visant 65 000 transactions par seconde, avec des frais inférieurs à un centime. Son évolutivité a favorisé une adoption massive dans la DeFi, les NFT et les applications Web3. Cette croissance l’a toutefois exposée à un vaste éventail d’incidents de sécurité : exploits au niveau des applications ayant détourné des centaines de millions de dollars, attaques de la chaîne d’approvisionnement compromettant les outils de l’écosystème, menaces au niveau du réseau et vulnérabilités du protocole central entraînant des interruptions et des risques. Cet article présente un catalogue exhaustif de l’historique de sécurité de Solana, fondé sur des recherches approfondies visant à recenser chaque incident de sécurité connu et vérifié, en utilisant uniquement des ressources fiables et vérifiées. Chaque incident est minutieusement vérifié de manière indépendante afin de fournir des données authentiques, tout en analysant ses causes profondes, ses répercussions, la réponse apportée, les mesures correctives, les enseignements tirés et les pertes subies par les utilisateurs.

Méthodologie

• Nous avons regroupé les incidents issus d’audits de sécurité annuels, de rapports, d’analyses post-mortem et de différents sites réputés afin d’établir cette liste.
• La liste comprend uniquement les incidents majeurs et vérifiés signalés par des sites fiables.
• Nous avons écarté les incidents mineurs, peu documentés ou non vérifiés, ainsi que ceux sans rapport avec les projets ou la sécurité de Solana.
• Nous avons exclu les nombreuses escroqueries et les projets frauduleux observés quotidiennement, pour ne répertorier que les incidents liés à des exploits ou à des piratages sur Solana.
• Les comptes Twitter, Discord ou autres comptes sociaux de centaines de projets de l’écosystème Solana ont été compromis par des escrocs ou des pirates. Ces incidents n’étant pas liés à des vulnérabilités de l’application, de la chaîne d’approvisionnement ou du réseau du protocole ou projet, ils ont été écartés.
• Nous avons examiné chaque incident indépendamment, en comparant différentes sources et différents chiffres afin de compiler les informations les plus exactes.
• Nous avons examiné des sources techniques (commits GitHub, avis npm, journaux de validateurs, rapports d’audit).
• Nous avons estimé les pertes à partir des chiffres publiés, recoupés avec les cours SOL/USD de l’époque.
• Chaque incident est résumé en présentant sa cause profonde, ses répercussions, la réponse apportée, les mesures correctives, les enseignements tirés et les pertes subies par les utilisateurs.
• Chaque incident comporte des références et des citations à des fins de vérification, ainsi qu’une liste de ressources de qualité.
• Nous avons évalué la fréquence des incidents, le total des pertes et l’évolution de la réponse de Solana en matière de sécurité.

Les incidents sont répartis en quatre catégories : I) exploits d’applications, II) attaques de la chaîne d’approvisionnement, III) vulnérabilités du protocole central, IV) attaques au niveau du réseau, et sont répertoriés jusqu’au T1 2025.

Récapitulatif des incidents

• Exploits d’applications (26 incidents) : Wormhole Bridge, Cashio, Crema Finance, Audius, Nirvana Finance, Slope Mobile Wallet, OptiFi Lockup Bug, Mango Markets, UXD Protocol, Tulip Protocol, Solend Protocol (août 2021), Solend Protocol (nov. 2022), Raydium, Cypher Protocol, SVT Token, io.net, Synthetify DAO, Aurory, Thunder Terminal, Saga DAO, Solareum, Pump.fun, Banana Gun, DEXX, NoOnes Platform, Loopscale.
• Attaques de la chaîne d’approvisionnement (2 incidents) : interface de Parcl, Web3.js
• Attaques au niveau du réseau (4 incidents) : incident de Grape Protocol, interruption liée à la frappe des NFT Candy Machine, attaque DDoS contre Jito, attaque DDoS contre Phantom wallet.
• Vulnérabilités du protocole central (6 incidents) : bug Solana Turbine, bug Solana Durable Nonce, bug Solana Duplicate Block, défaillance Solana Turbine, bug Solana JIT Cache, vulnérabilité d’alignement des adresses ELF de Solana.

Exploits d’applications

Définition

Les exploits d’applications sont des incidents de sécurité qui ciblent des vulnérabilités dans les applications logicielles, les programmes ou la logique de protocole développés sur la blockchain Solana. Ces exploits surviennent au niveau de la couche applicative, au-dessus du protocole central de la blockchain, et impliquent généralement des failles de conception, de programmation ou de configuration dans les applications décentralisées (dApps), les portefeuilles ou les protocoles DeFi. Ils entraînent souvent des accès non autorisés, des vols de fonds ou la manipulation des opérations du protocole.

Caractéristiques

• Périmètre : propres à des dApps, programmes ou applications de portefeuille individuels, et non au protocole Solana lui-même.
• Vulnérabilités courantes : bugs de programmes (par ex., failles de validation, manipulation d’oracles), gestion non sécurisée des clés, failles de gouvernance et intégrations de services tiers au sein de l’application.
• Impact : entraînent généralement des pertes financières dues au vol de fonds, à la manipulation de transactions ou au blocage d’actifs. Touchent les utilisateurs, les protocoles ou les trésoreries.

Incidents au niveau des applications

Tentative de contournement de l’authentification de Solend (août 2021)

Cause profonde : le 19 août 2021, un attaquant a exploité une vérification d’authentification non sécurisée dans la fonction `UpdateReserveConfig` de Solend. Il a contourné les contrôles administrateur en créant un nouveau marché de prêt et en le transmettant comme un compte lui appartenant, ce qui lui a permis de modifier sans autorisation les configurations des réserves d’actifs tels que l’USDC, le SOL, l’ETH et le BTC. Il a ainsi pu abaisser le seuil de liquidation, rendant presque tous les comptes emprunteurs liquidables, et augmenter la prime de liquidation afin de générer d’importants profits pour les liquidateurs — potentiellement pour lui-même — en gonflant cette prime.

Répercussions : la tentative d’exploitation a mis environ 2 millions de dollars en danger en rendant presque tous les comptes ayant des emprunts liquidables avec une prime gonflée. Cinq utilisateurs ont été liquidés à tort par le bot de liquidation de Solend, entraînant 16 000 $ de pertes. Aucun fonds n’a été volé grâce à la détection et à l’intervention rapides de l’équipe Solend.

Réponse à l’incident : Solend a détecté l’attaque en 41 minutes, l’a neutralisée en 1 heure et 10 minutes, puis a déployé un correctif en 1 heure et 38 minutes. Les opérations d’emprunt ont été temporairement suspendues et l’équipe a régularisé les comptes liquidés à tort en remboursant 16 000 $ provenant des gains indus du liquidateur, assortis d’une prime de 2 %.

Mesures correctives : Solend a mis en place des politiques de revue de code plus strictes, planifié des audits complémentaires, augmenté le montant des primes de bug bounty et ajouté des alertes de surveillance. L’équipe a également introduit des coupe-circuits et des mécanismes de ralentissement pour prévenir des exploits similaires, et corrigé la vérification d’authentification vulnérable dans la fonction `UpdateReserveConfig`.

Enseignements tirés : des vérifications d’authentification non sécurisées dans les programmes peuvent permettre à des attaquants de manipuler des paramètres critiques du protocole. Des contrôles d’accès robustes, des audits de code approfondis et une surveillance en temps réel sont indispensables pour sécuriser les protocoles décentralisés, en particulier lors de leur lancement initial.

Pertes des utilisateurs : cinq utilisateurs ont perdu 16 000 $ en raison de liquidations injustifiées, mais tous ont été intégralement remboursés avec une prime supplémentaire de 2 % prélevée sur les gains du liquidateur. Aucun autre fonds d’utilisateur n’a été perdu.

Références et citations :

• HackMD : « Solend Protocol - Tentative d’un pirate de voler ~2 M$ en manipulant des paramètres centraux », août 2021
• Quadriga Initiative : « Août 2021 - Vérification d’authentification non sécurisée de Solend - 16 000 $ (total) », août 2021

Exploit de Wormhole Bridge (févr. 2022)

Cause profonde : une faille de vérification des signatures dans le programme Solana de Wormhole a permis à un attaquant de falsifier une signature valide et de contourner la validation des Guardians. Il a ainsi pu frapper sans autorisation 120 000 Ether enveloppés (wETH) sans déposer de garantie équivalente en Ethereum.

Répercussions : environ 326 millions de dollars en cryptomonnaies ont été volés, ce qui en faisait alors le deuxième plus grand piratage DeFi. L’exploit a rompu la parité 1:1 entre le wETH et l’ETH, suscitant des inquiétudes quant à la fiabilité des ponts interchaînes.

Réponse à l’incident : la vulnérabilité a été corrigée en quelques heures le 2 février 2022. Jump Crypto, la société mère de Wormhole, a remboursé 120 000 ETH le 3 février, rétablissant la couverture 1:1. Une prime de bug bounty de 10 millions de dollars a été proposée à l’attaquant, qui n’a pas restitué les fonds.

Mesures correctives : renforcement de la vérification des signatures grâce à une validation plus stricte des entrées et à de meilleurs contrôles des comptes afin de prévenir les attaques par usurpation.

Enseignements tirés : les ponts interchaînes nécessitent une sécurité multicouche, notamment une validation robuste et des audits, afin d’atténuer les vulnérabilités complexes des smart contracts.

Pertes des utilisateurs : aucune, car Jump Crypto a intégralement remboursé les fonds volés, évitant ainsi toute perte directe pour les utilisateurs.

Références et citations :

• CNBC : « 320 millions de dollars volés à Wormhole, le pont reliant Solana et Ethereum », 3 février 2022.
• The Verge : « La plateforme de cryptomonnaies Wormhole piratée à hauteur de 325 millions de dollars après une erreur sur GitHub », 3 février 2022.
• Certik : « Analyse de l’incident lié à l’exploit de Wormhole Bridge », 31 juillet 2022.

Exploit de Cashio (mars 2022)

Cause profonde : une vulnérabilité dans la validation des garanties du programme Cashio a permis à un attaquant de frapper 2 milliards de tokens CASH à l’aide de faux comptes et de garanties sans valeur. La faille résultait de l’absence de validation du champ mint dans le compte saber_swap.arrow, ce qui a permis à l’attaquant de contourner les contrôles des tokens LP Saber USDT-USDC et d’exploiter un « bug de frappe illimitée ».

Répercussions : environ 52,8 millions de dollars d’actifs (USDC, USDT, UST) ont été volés et le cours du stablecoin CASH s’est effondré de 1 $ à 0,00005 $. La valeur totale verrouillée (TVL) de Cashio est passée de 28,8 millions de dollars à 579 000 $, entraînant l’arrêt des opérations.

Réponse à l’incident : Cashio a suspendu la frappe à 9 h 00 UTC le 23 mars 2022 et a exhorté les utilisateurs à retirer leurs fonds des pools de liquidité. L’équipe a identifié la cause profonde et collaboré avec Saber Labs, qui a suspendu ses pools CASH. L’attaquant a restitué les fonds aux comptes détenant moins de 100 000 $ et s’est engagé à reverser les montants plus importants à des organisations caritatives, mais 25 millions de dollars restaient non récupérés en juin 2022.

Mesures correctives : la vulnérabilité a été corrigée grâce aux efforts de la communauté, mais Cashio n’a pas repris ses activités. Un protocole à deux tokens et une DAO destinés à rembourser les victimes ont été proposés en juin 2022, mais aucune mise à jour n’a suivi.

Enseignements tirés : les programmes non audités sont très vulnérables aux exploits, ce qui souligne la nécessité d’audits rigoureux, d’une validation robuste des garanties et d’une racine de confiance pour la vérification des comptes afin d’empêcher les scénarios de frappe illimitée.

Pertes des utilisateurs : 52,8 millions de dollars, partiellement atténuées ; environ 27,8 millions de dollars ont été restitués aux plus petits comptes, laissant 25 millions de dollars non remboursés, sans autre récupération signalée.

Références et citations

• CoinDesk : « Le stablecoin Cashio subit un exploit par “bug infini”, sa TVL chute de 28 M$ », 23 mars 2022
• The Block : « Le stablecoin Cashio sur Solana exploité à hauteur de 52,8 millions de dollars via un “bug de frappe illimitée” », 24 mars 2022
• Halborn : « Explication : le piratage de Cashio (mars 2022) », 28 mars 2022.
• CertiK : « Analyse de l’incident de l’application Cashio », 6 décembre 2022

Exploit de Crema Finance (juil. 2022)

Cause profonde : une vulnérabilité dans le teneur de marché à liquidité concentrée (CLMM) de Crema Finance a permis à un attaquant de créer un faux compte de tick et de contourner la vérification du propriétaire. En utilisant des prêts flash de Solend, l’attaquant a manipulé les données de frais de transaction afin de réclamer des frais excessifs et de vider plusieurs pools de liquidité.

Répercussions : environ 8,8 millions de dollars d’actifs (69 422,9 SOL et 6 497 738 USDC) ont été volés, affectant les pools de liquidité de Crema. L’attaquant a transféré les fonds vers Ethereum via un pont, puis les a échangés contre 6 064 ETH.

Réponse à l’incident : Crema a suspendu ses programmes le 3 juillet 2022 et négocié avec l’attaquant, qui a restitué 7,2 millions de dollars (6 064 ETH et 23 967,9 SOL) avant le 7 juillet 2022, conservant 45 455 SOL (1,6 million de dollars) comme prime de white hat. La vulnérabilité a été corrigée en quelques jours.

Mesures correctives : renforcement de la validation des comptes de tick, contrôles des propriétaires pour empêcher la manipulation de fausses données et protections plus strictes contre les prêts flash.

Enseignements tirés : les protocoles de liquidité doivent sécuriser les données de ticks de prix et la logique des frais de transaction afin de prévenir les exploits par prêt flash, ce qui souligne la nécessité d’audits robustes.

Pertes des utilisateurs : perte nette de 1,6 million de dollars (prime), non remboursée ; la restitution de 7,2 millions de dollars a atténué l’essentiel de l’impact sur les utilisateurs.

Références et citations :

• CoinDesk : « Le protocole DeFi Crema sur Solana perd 8,8 M$ lors d’un exploit », 4 juillet 2022
• Halborn : « Explication : le piratage de Crema Finance (juillet 2022) », 19 juillet 2022
• CertiK : « Exploit de Crema Finance », 3 juillet 2022

Exploit de la gouvernance d’Audius (juil. 2022)

Cause profonde : une vulnérabilité dans le programme de gouvernance d’Audius a permis à un attaquant de soumettre et d’exécuter des propositions malveillantes en contournant la validation appropriée. L’attaquant a reconfiguré les autorisations de la trésorerie et transféré 18,5 millions de tokens AUDIO vers son portefeuille.

Répercussions : environ 6,1 millions de dollars en tokens AUDIO (selon leur valeur à l’époque) ont été volés dans la trésorerie, provoquant une baisse temporaire du cours et suscitant des inquiétudes quant à la sécurité de la gouvernance décentralisée.

Réponse à l’incident : Audius a suspendu tous ses programmes en quelques heures, corrigé la vulnérabilité et mis à niveau le programme avant le 28 juillet 2022. Aucun fonds n’a été récupéré auprès de l’attaquant.

Mesures correctives : renforcement de la validation des propositions, ajout de délais d’exécution pour les actions de gouvernance et migration vers un nouveau système de gouvernance doté de contrôles d’accès plus stricts.

Enseignements tirés : les programmes de gouvernance nécessitent une validation robuste et des délais pour empêcher les actions non autorisées, ce qui souligne la nécessité d’audits approfondis dans la DeFi.

Pertes des utilisateurs : 6,1 millions de dollars de fonds de trésorerie perdus et non remboursés ; aucune perte directe dans les portefeuilles des utilisateurs.

Références et citations

• Lossless : « Piratage d’Audius : une attaque de gouvernance permise par le code », 29 juillet 2022
• CoinDesk : « Comment des attaquants ont volé environ 1,1 M$ de tokens au projet musical décentralisé Audius », 25 juillet 2022
• GoPlus Security : « Brève analyse de l’exploit de la plateforme musicale Web3 Audius », 24 juillet 2022
• Twitter d’Audius (@AudiusProject) : annonce de l’exploit, 24 juillet 2022

Exploit de Nirvana Finance (juil. 2022)

Cause profonde : l’attaquant Shakeeb Ahmed a exploité une vulnérabilité du mécanisme de tarification du programme de Nirvana Finance à l’aide d’un prêt flash d’environ 10 millions de dollars. En achetant des tokens ANA et en manipulant la courbe de liaison, Ahmed a frappé des tokens à un taux gonflé et détourné 3,5 millions de dollars en stablecoins.

Répercussions : environ 3,5 millions de dollars ont été volés, provoquant l’effondrement de la valeur totale verrouillée de Nirvana et l’arrêt des opérations. L’exploit, réalisé par un ingénieur en sécurité qualifié, a érodé la confiance des utilisateurs et constitué un revers majeur pour le protocole.

Réponse à l’incident : Nirvana a fermé après l’exploit du 28 juillet 2022 et cessé toute communication. En 2023, Ahmed a été arrêté et a plaidé coupable, avec une ordonnance de restitution de 12,3 millions de dollars. En septembre 2024, Nirvana a lancé un portail de réclamations et distribué 60 % des fonds de restitution aux utilisateurs touchés avant décembre 2024.

Mesures correctives : en raison de la fermeture, aucun correctif immédiat du programme n’a été mis en œuvre. Nirvana V2, dont la relance a été annoncée en septembre 2024, a introduit un mécanisme de prix à « plancher ascendant » et une liquidité détenue par le protocole afin d’améliorer la stabilité.

Enseignements tirés : les mécanismes de tarification personnalisés sont vulnérables aux attaques par prêt flash et nécessitent des courbes de liaison robustes, des oracles externes et des audits approfondis pour garantir la sécurité des protocoles DeFi.

Pertes des utilisateurs : 3,5 millions de dollars, partiellement atténuées ; 60 % des fonds de restitution ont été distribués et les efforts visant à indemniser les utilisateurs touchés se poursuivent.

Références et citations :

• CoinDesk : « Le protocole DeFi Nirvana sur Solana perd 3,5 M$ de liquidités lors d’une attaque par prêt flash », 28 juillet 2022.
• Cointelegraph : « Le cofondateur de Nirvana Finance raconte le “pire jour” de sa vie », 3 juin 2024.
• Nirvana Finance Medium : « Nirvana Finance : renaître de ses cendres », 19 septembre 2024.

Exploit de Slope Mobile Wallet (août 2022)

Cause profonde : la gestion non sécurisée des clés privées dans l’application mobile de portefeuille Slope a entraîné la fuite des phrases de récupération des utilisateurs. L’application transmettait par inadvertance des phrases de récupération chiffrées au serveur central de journalisation de Slope, où elles ont pu être interceptées ou mal gérées, permettant à un attaquant d’accéder aux portefeuilles touchés et de les vider.

Répercussions : environ 8 millions de dollars d’actifs ont été volés dans plus de 9 000 portefeuilles Solana. Certains portefeuilles Ethereum ont également été touchés lorsque des utilisateurs avaient réutilisé des phrases de récupération générées par Slope. L’exploit a suscité une vive inquiétude concernant la sécurité des portefeuilles dans l’écosystème Solana.

Réponse à l’incident : Slope a reconnu le problème le 3 août 2022 et exhorté les utilisateurs à transférer leurs fonds vers des portefeuilles matériels ou des plateformes d’échange centralisées. La vulnérabilité a été neutralisée en quelques jours, mais aucun fonds n’a été récupéré auprès de l’attaquant.

Mesures correctives : Slope a instauré des politiques de traitement des données plus strictes, supprimé la journalisation des phrases de récupération et renforcé ses pratiques de chiffrement pour prévenir de futures fuites.

Enseignements tirés : les applications de portefeuille doivent donner la priorité à la gestion sécurisée des clés et éviter de transmettre des données sensibles à des serveurs centralisés, ce qui souligne les risques des pratiques proches de la conservation dans les portefeuilles non dépositaires.

Pertes des utilisateurs : 8 millions de dollars, non remboursés, sans récupération signalée des fonds volés.

Références et citations :

• Certik Medium : « Exploit de Solana et Slope Wallet », 25 juillet 2023
• Site officiel de Solana : « Mise à jour sur l’incident de Slope Wallet du 2 août 2022 », 23 juin 2023
• Ackee Blockchain Medium : « Explication des piratages de Solana en 2022 : Slope Wallet », 23 mars 2023

Bug de verrouillage d’OptiFi (août 2022)

Cause profonde : une erreur de programmation lors d’une mise à jour du programme a entraîné l’utilisation accidentelle de la commande « solana program close », fermant définitivement le mainnet d’OptiFi et bloquant 661 000 USDC dans des comptes dérivés du programme (PDA).

Répercussions : 661 000 USDC sont devenus définitivement inaccessibles en raison de la fermeture irréversible du DEX basé sur Solana ; aucun fonds n’a été volé, mais ils ont de fait été perdus.

Réponse à l’incident : l’équipe OptiFi a reconnu l’erreur le 30 août 2022, confirmé que les fonds étaient irrécupérables et s’est engagée à indemniser manuellement tous les utilisateurs touchés à partir du 2 septembre 2022, dans le cadre d’un processus de deux semaines.

Mesures correctives : mise en place d’un système de contrôle par les pairs exigeant qu’au moins trois membres de l’équipe examinent les déploiements afin d’éviter de futures erreurs de programmation.

Enseignements tirés : en raison de l’immuabilité de la blockchain, des bugs non malveillants peuvent bloquer définitivement des fonds dans la DeFi, ce qui souligne la nécessité d’une revue et de tests rigoureux avant le déploiement des mises à jour.

Pertes des utilisateurs : 661 000 $ bloqués et non remboursés on-chain ; OptiFi a remboursé les utilisateurs, 95 % des fonds appartenant à un membre de l’équipe, ce qui a limité les pertes des utilisateurs externes à environ 33 000 $.

Références et citations :

• CoinDesk : « Le protocole DeFi OptiFi basé sur Solana perd 661 000 $ à cause d’une erreur de programmation », 30 août 2022
• Optimisus : « Le protocole DeFi OptiFi basé sur Solana a fermé sa plateforme mainnet et maintenu 661 000 USDC bloqués », 31 août 2022
• OptiFi Medium : « Rapport d’incident du programme OptiFi », 30 août 2022

Exploit de Mango Markets (oct. 2022)

Cause profonde : l’attaquant, Avraham Eisenberg, a manipulé l’oracle de prix de Mango Markets en gonflant le cours du token MNGO au moyen de transactions à effet de levier sur des contrats à terme perpétuels. À l’aide de deux comptes contenant 10 millions d’USDC, il a fait passer le cours du MNGO de 0,038 $ à 0,91 $ sur plusieurs plateformes, puis emprunté 116 millions de dollars en utilisant cette garantie surévaluée.

Répercussions : environ 116 millions de dollars ont été retirés des pools de liquidité de Mango, entraînant une chute de 50 % du cours du MNGO et ramenant la TVL du protocole presque à zéro. Après négociation, Eisenberg a restitué 67 millions de dollars et conservé 47 millions de dollars comme « prime de bug bounty ».

Réponse à l’incident : Mango a gelé les dépôts le 11 octobre 2022 et négocié avec Eisenberg, qui a restitué 67 millions de dollars avant le 15 octobre. L’oracle a été corrigé en quelques jours pour empêcher toute nouvelle manipulation.

Mesures correctives : amélioration de la sécurité des oracles grâce à des flux de prix externes (par ex., Pyth, Chainlink) et mise en place de limites d’effet de levier pour réduire les risques de manipulation.

Enseignements tirés : les tokens à faible liquidité et les systèmes dépendant d’oracles sont vulnérables aux manipulations économiques et nécessitent des flux de prix robustes ainsi que des contrôles des risques.

Pertes des utilisateurs : la perte nette s’est élevée à 47 millions de dollars, non remboursés ; les 67 millions de dollars restitués ont atténué une partie de l’impact, mais aucune autre indemnisation n’a été accordée.

Références et citations :

• CoinDesk : « Comment une manipulation du marché a conduit à un exploit de 100 M$ sur la plateforme DeFi Mango de Solana », 12 octobre 2022
• The Block : « L’auteur de l’exploit de Mango Markets restitue 67 M$ de fonds volés », 15 octobre 2022
• CertiK Medium : « Comprendre les escroqueries liées aux cryptomonnaies | Exploit de Mango Markets », 25 juillet 2023

Exploit d’UXD Protocol (oct. 2022)

Cause profonde : UXD Protocol a été indirectement touché par l’exploit de manipulation de l’oracle de Mango Markets, lors duquel l’attaquant Avraham Eisenberg a gonflé le cours du MNGO afin de détourner 116 millions de dollars. UXD avait déposé 19,9 millions d’USDC dans les pools de prêt de Mango, qui ont été gelés pendant l’attaque.

Répercussions : UXD a perdu l’accès à 19,9 millions de dollars d’actifs, interrompant ses opérations de frappe de stablecoins. Le stablecoin $UXD du protocole est resté couvert à 100 % grâce à un fonds d’assurance de 53,5 millions de dollars, mais les opérations ont été suspendues jusqu’à la récupération des fonds.

Réponse à l’incident : UXD a suspendu la frappe de $UXD le 12 octobre 2022 afin de minimiser le risque. Après que les négociations de Mango ont permis la restitution de 67 millions de dollars, UXD a récupéré 19,9 millions de dollars le 20 octobre et repris l’ensemble de ses activités le 27 octobre.

Mesures correctives : UXD a réinitialisé son module de gestion actif-passif afin de restaurer son fonctionnement et prévu de réduire sa dépendance à Mango Markets par la diversification.

Enseignements tirés : la dépendance à des protocoles DeFi externes expose les stablecoins à des risques liés aux tiers, d’où la nécessité de stratégies diversifiées et de fonds d’assurance robustes.

Pertes des utilisateurs : aucune ; le fonds d’assurance d’UXD et la récupération partielle des fonds de Mango ont évité toute perte directe pour les utilisateurs, $UXD restant remboursable à sa valeur nominale via Jupiter Exchange.

Références et citations :

• TokenInsight : « UXD Protocol touché à hauteur de près de 20 millions de dollars par l’attaque contre Mango », 12 octobre 2022
• Crypto News : « Des projets Solana redémarrent après la récupération des fonds perdus dans l’affaire Mango Markets », 27 octobre 2022

Exploit de Tulip Protocol (oct. 2022)

Cause profonde : Tulip Protocol a été indirectement touché par l’exploit de manipulation de l’oracle de Mango Markets, lors duquel l’attaquant Avraham Eisenberg a gonflé le cours du MNGO afin de détourner 116 millions de dollars. Tulip avait déposé 2,5 millions de dollars dans des coffres de stratégies USDC et RAY au sein des pools de prêt de Mango, qui ont été gelés pendant l’attaque.

Répercussions : Tulip a perdu l’accès à 2,5 millions de dollars d’actifs, interrompant temporairement les opérations des coffres. Les soldes des coffres ont été touchés, mais l’intégration des oracles Chainlink par Tulip a empêché l’exploitation directe de ses propres programmes.

Réponse à l’incident : Tulip a suspendu les interactions avec les coffres le 12 octobre 2022. Après que les négociations de Mango ont permis la restitution de 67 millions de dollars, Tulip a récupéré 2,5 millions de dollars le 20 octobre. Après avoir réinitialisé son module de gestion actif-passif, Tulip a restauré les soldes des coffres et repris ses activités le 26 octobre.

Mesures correctives : Tulip a limité les dépôts des coffres à ses propres pools de prêt et réévalué son exposition aux risques liés aux protocoles externes afin de réduire sa dépendance à des plateformes comme Mango.

Enseignements tirés : les agrégateurs de rendement qui dépendent de protocoles tiers sont confrontés à des risques importants liés aux exploits externes, d’où la nécessité de stratégies diversifiées et d’une gestion robuste des risques.

Pertes des utilisateurs : aucune ; la récupération de 2,5 millions de dollars par Tulip a évité toute perte directe pour les utilisateurs et les soldes des coffres ont été intégralement restaurés.

Références et citations :

• TokenInsight : « Les projets de l’écosystème Solana Tulip Protocol et UXD Protocol rouvrent leurs services », 27 octobre 2022
• CoinCu News : « UXD Protocol récupère ses tokens après l’exploit de Mango Markets », 27 octobre 2022

Exploit de Save (anciennement Solend) (nov. 2022)

Cause profonde : la manipulation des prix des oracles dans trois pools isolés (USDH, Stable et Turbo SOL) a permis aux attaquants de sur-emprunter en utilisant des garanties surévaluées et en exploitant des flux de prix obsolètes.

Répercussions : 1,26 million de dollars de créances douteuses se sont accumulées dans les pools touchés, affectant la valeur totale verrouillée de Solend et la confiance des utilisateurs.

Réponse à l’incident : Solend a gelé les pools touchés en quelques heures, corrigé les flux des oracles avant le 3 novembre 2022 et absorbé les créances douteuses dans sa trésorerie afin de protéger les utilisateurs. Aucun fonds n’a été récupéré auprès de l’attaquant.

Mesures correctives : renforcement de la validation des oracles grâce à des mises à jour plus rapides des flux de prix et à des contrôles plus stricts des garanties afin d’empêcher les manipulations.

Enseignements tirés : des données d’oracle exactes et actualisées sont essentielles pour permettre aux protocoles de prêt d’empêcher les exploits par sur-emprunt, ce qui souligne l’importance d’une intégration robuste des flux de prix.

Pertes des utilisateurs : aucune ; la trésorerie de Solend a couvert les 1,26 million de dollars de créances douteuses, évitant toute perte directe pour les utilisateurs.

Références et citations :

• CoinDesk : « Le protocole DeFi Solend touché par un exploit d’oracle de 1,26 M$ », 2 novembre 2022
• Crypto Briefing : « Pourquoi les protocoles DeFi de Solana continuent-ils d’être exploités ? », 2 novembre 2022

Exploit de Raydium (déc. 2022)

Cause profonde : une attaque par cheval de Troie a compromis la clé privée du compte Pool Owner de Raydium, donnant à l’attaquant accès aux fonctions d’administration du pool de liquidité V4. L’attaquant a utilisé la fonction `withdrawPNL` pour gonfler et retirer des frais, vidant ainsi huit pools de liquidité à produit constant.

Répercussions : environ 4,4 millions de dollars d’actifs (dont des USDC, wSOL et RAY) ont été volés, puis 2,7 millions de dollars ont été transférés vers Tornado Cash. L’exploit a entraîné une baisse de 10 % du cours du RAY et réduit la TVL de Raydium de 4,4 millions de dollars.

Réponse à l’incident : Raydium a révoqué l’autorité du compte compromis et corrigé le programme AMM V4 avant 14 h 16 UTC le 16 décembre 2022, mettant fin aux exploits. Une prime de 10 % a été proposée, mais aucun fonds n’a été récupéré.

Mesures correctives : les paramètres administrateur ont été supprimés au moyen d’une mise à niveau multisig Squads et la propriété a été transférée vers un portefeuille matériel. Un plan d’indemnisation a ensuite été mis en œuvre grâce aux fonds de rachat de RAY et aux tokens de l’équipe.

Enseignements tirés : la sécurité des comptes privilégiés est essentielle dans la DeFi ; la compromission de clés privées peut contourner les protections des programmes, ce qui exige une sécurité robuste de l’infrastructure.

Pertes des utilisateurs : 4,4 millions de dollars, partiellement atténuées ; les fournisseurs de liquidité des pools RAY ont été indemnisés à 100 %, ceux des pools non-RAY à 90 % avec une prime supplémentaire de 20 % en RAY, financée par la trésorerie de Raydium et les tokens de l’équipe.

Références et citations :

• CoinDesk : « La plateforme d’échange Raydium basée sur Solana victime d’un exploit à sept chiffres », 16 décembre 2022
• The Block : « La plateforme d’échange Raydium basée sur Solana subit un exploit de 4,4 millions de dollars », 16 décembre 2022
• Certik : « Analyse de l’incident lié à l’exploit de Raydium Protocol », 18 janvier 2023
• Halborn : « Explication : le piratage de Raydium (novembre 2022) », 22 décembre 2022

Exploit de Cypher Protocol (août 2023)

Cause profonde : une vulnérabilité dans le programme de Cypher, probablement dans sa logique de marge ou de négociation de contrats à terme, a permis à un attaquant de voler 38 530 SOL et 123 184 USDC en exploitant un accès non autorisé aux fonds. La faille technique exacte n’a pas été divulguée.

Répercussions : environ 1,04 million de dollars ont été détournés, affectant la liquidité de Cypher et la confiance des utilisateurs pendant son événement hacker house mtnDAO. Un programme de remboursement a ensuite été mis en place pour indemniser les utilisateurs, mais en 2024, le contributeur principal Hoak a volé 317 000 $ dans ce fonds, invoquant une addiction aux jeux d’argent.

Réponse à l’incident : Cypher a gelé ses programmes le 7 août 2023, quelques heures après l’exploit. Le protocole a tenté de négocier avec l’attaquant, qui a transféré 30 000 USDC vers finance, mais n’a pas restitué les fonds. L’équipe a enquêté sur la faille et proposé un plan de remboursement.

Mesures correctives : après l’exploit, Cypher a prévu un audit de sécurité, mais le vol commis par Hoak a entravé ce projet. Aucun correctif précis du programme n’a été détaillé, même si des appels généraux à des audits robustes ont suivi.

Enseignements tirés : les protocoles DeFi nécessitent des audits rigoureux des programmes et une gestion sécurisée des clés afin de prévenir les exploits externes comme les menaces internes, ce qui met en évidence les vulnérabilités des plateformes en forte croissance.

Pertes des utilisateurs : 1,04 million de dollars lors de l’exploit initial, non remboursés ; 317 000 $ supplémentaires ont été volés par Hoak en 2024, et les tentatives de remboursement partiel se poursuivent, mais restent incomplètes.

Références et citations :

• CoinDesk : « Cypher Protocol, basé sur Solana, subit un exploit et gèle son smart contract », 8 août 2023.
• Cointelegraph : « Cypher Protocol gèle son smart contract après un exploit estimé à 1 M$ », 8 août 2023.
• Decrypt : « Un développeur Solana reconnaît avoir volé puis perdu au jeu les fonds d’utilisateurs de Cypher », 15 mai 2024.

Exploit du token SVT de Solvent Protocol (août 2023)

Cause profonde : une attaque par prêt flash a exploité des failles du modèle économique dans les programmes de transaction de SVT, permettant à l’attaquant de manipuler le cours du token au moyen d’opérations répétées d’achat et de vente, et d’utiliser des prêts flash pour amplifier ses gains.

Répercussions : l’attaquant a réalisé un bénéfice d’environ 400 000 $, en vidant le portefeuille d’un utilisateur qui ne se doutait de rien et en mettant en évidence les vulnérabilités de la conception du programme SVT.

Réponse à l’incident : aucune réponse précise de l’équipe SVT n’est documentée. CertiK a alerté la communauté le 26 août 2023 et MistTrack a retracé les fonds de l’attaquant, signalant un capital initial provenant de SwftSwap et le transfert de 1 070 BNB vers Tornado Cash.

Mesures correctives : aucune mesure corrective n’a été consignée, probablement en raison du manque de notoriété ou de la dissolution de SVT. L’incident a souligné la nécessité de modèles économiques robustes dans les programmes DeFi.

Enseignements tirés : les attaques par prêt flash exploitent les modèles économiques mal conçus, ce qui exige une logique de programme sécurisée, l’intégration d’oracles et des protections de liquidité afin d’empêcher la manipulation des prix.

Pertes des utilisateurs : 400 000 $, non remboursés, sans récupération signalée.

Références et citations :

• SlowMist Hacked : « Attaque par prêt flash contre SVT Token »,
• Coin Edition : « Un attaquant dérobe 400 000 $ lors d’un exploit par prêt flash contre SVT : rapport » 26 août 2023

Exploit de Synthetify DAO (oct. 2023)

Cause profonde : un attaquant a exploité la DAO inactive de Synthetify en créant des propositions de gouvernance malveillantes et en votant pour celles-ci. Il a soumis dix propositions, dont neuf inoffensives et une contenant du code destiné à transférer 230 000 $ en USDC, mSOL et stSOL vers son adresse, en utilisant ses propres tokens pour atteindre discrètement le quorum.

Répercussions : environ 230 000 $ ont été volés et envoyés vers Tornado Cash, mettant en évidence les vulnérabilités de gouvernance des DAO inactives. Synthetify, déjà endetté après l’effondrement de FTX, a subi un nouveau revers malgré les plans de restructuration annoncés en avril 2023.

Réponse à l’incident : l’exploit est passé inaperçu jusqu’au transfert des fonds. Synthetify a gelé ses programmes et sa plateforme le 19 octobre 2023, mais aucun fonds n’a été récupéré en raison de l’utilisation de Tornado Cash.

Mesures correctives : aucune mesure corrective précise n’a été mise en œuvre, car le protocole était déjà en difficulté. L’incident a conduit à recommander aux DAO d’adopter des conseils disposant d’un droit de veto et de meilleurs systèmes de notification.

Enseignements tirés : les DAO inactives qui reposent sur un vote exclusivement fondé sur les tokens sont vulnérables aux attaques de gouvernance et nécessitent une surveillance active, des incitations à la participation et un examen rigoureux des propositions.

Pertes des utilisateurs : 230 000 $, non remboursés, sans récupération signalée.

Références et citations :

• Blockworks : « Une DAO sur Solana perd 230 000 $ après qu’une “proposition d’attaque” est passée inaperçue », 25 octobre 2023
• SlowMist Hacked : « Incident de sécurité de Synthetify Protocol », consulté en 2025
• Neodyme : « Comment pirater une DAO », 24 janvier 2024

Exploit de Thunder Terminal (déc. 2023)

Cause profonde : une URL de connexion MongoDB compromise, soit une vulnérabilité d’un service tiers, a permis à un attaquant d’accéder au système de Thunder Terminal et de retirer 86,5 ETH et 439 SOL des portefeuilles d’utilisateurs au moyen d’autorisations malveillantes.

Répercussions : environ 240 000 $ d’actifs ont été volés, dont 192 500 $ ont été transférés vers Railgun. L’incident a touché 14 % des utilisateurs de hot wallets, tandis que les cold wallets sont restés sécurisés.

Réponse à l’incident : Thunder Terminal a stoppé l’attaque en neuf minutes le 27 décembre 2023, révoqué les autorisations malveillantes et rétabli le fonctionnement de la plateforme en quelques heures. L’équipe a proposé une prime et négocié avec l’attaquant, qui a affirmé sans preuve avoir découvert d’autres vulnérabilités, mais aucun fonds n’a été récupéré.

Mesures correctives : pour prévenir des compromissions similaires, la sécurité des intégrations tierces a été renforcée, notamment au moyen de contrôles d’accès plus stricts et d’une surveillance des connexions MongoDB.

Enseignements tirés : les dépendances envers des services tiers présentent des risques importants pour les plateformes DeFi et nécessitent des audits de sécurité robustes ainsi que des mécanismes de réponse rapide pour protéger les fonds des utilisateurs.

Pertes des utilisateurs : 240 000 $, non remboursés, sans récupération signalée des fonds volés.

Références et citations :

• Cointelegraph : « Thunder Terminal affirme que les fonds sont en sécurité après une attaque de 240 000 $, le pirate conteste », 27 décembre 2023
• The Block : « La plateforme de trading on-chain Thunder Terminal piratée à hauteur de 86,5 ETH : ZachXBT », 27 décembre 2023

Exploit d’Aurory SyncSpace (déc. 2023)

Cause profonde : le 17 décembre 2023, un acteur malveillant a exploité une vulnérabilité de condition de concurrence dans le point de terminaison d’achat hors chaîne de la marketplace d’Aurory. En envoyant simultanément plusieurs requêtes d’achat, l’attaquant a gonflé son solde AURY dans SyncSpace, un système d’inventaire hybride on-chain/hors chaîne. Il a ainsi pu retirer environ 600 000 tokens AURY (d’une valeur de ~830 000 $) vers le réseau Arbitrum, puis les vendre sur le marché libre.

Répercussions : l’exploit a provoqué une chute de 80 % de la liquidité du pool AURY-USDC sur le DEX Camelot, qui est passée de 1,5 million de dollars à 312 000 $. Le cours du token AURY a reculé de 17 % à 1,17 $, avec une baisse de 23,5 % sur 24 heures et de 36,5 % sur sept jours, avant de se redresser légèrement. Aucun fonds d’utilisateur ni NFT n’a été perdu, car les tokens volés provenaient d’un portefeuille de l’équipe.

Réponse à l’incident : l’équipe Aurory a détecté l’activité suspecte en quelques heures et désactivé le pont SyncSpace à des fins de maintenance, interrompant les dépôts et les retraits. Elle a absorbé la pression vendeuse en rachetant des tokens et confirmé que l’attaquant avait épuisé sa réserve d’AURY. Un correctif global du backend était en cours de développement et une analyse post-mortem détaillée était prévue.

Mesures correctives : Aurory travaille sur un correctif pour résoudre la vulnérabilité de condition de concurrence et prévoit de renforcer la sécurité de la marketplace. Malgré un audit antérieur réalisé par OtterSec, la vulnérabilité n’avait pas été détectée, ce qui a entraîné un réexamen du périmètre et des processus d’audit. SyncSpace devrait reprendre ses activités après la mise en œuvre des correctifs.

Enseignements tirés : les vulnérabilités de condition de concurrence dans les systèmes hors chaîne peuvent entraîner des exploits majeurs, même sur des plateformes auditées. Des périmètres d’audit complets, une surveillance en temps réel et une logique de marketplace robuste sont essentiels pour prévenir ces attaques, en particulier dans les systèmes hybrides on-chain/hors chaîne.

Pertes des utilisateurs : aucun fonds d’utilisateur ni NFT n’a été compromis. La perte de 830 000 $ (ensuite évaluée à ~690 000 $ en raison de la baisse du cours) a été supportée par le portefeuille de l’équipe, utilisé pour les retraits de comptes qui n’avaient encore jamais déposé d’AURY.

Références et citations :

• Déclaration officielle d’Aurory : annonce de l’exploit, 17 décembre 2023
• Decrypt : « Le jeu Solana “Aurory” subit un exploit de 830 000 $ et désactive le pont Arbitrum », 19 décembre 2023
• Coinlive : « Aurory détecte l’activité d’un pirate et ferme temporairement SyncSpace », décembre 2023

Incident de Saga DAO (janv. 2024)

Cause profonde : Saga DAO, un fan-club consacré au téléphone Solana Saga, a subi une faille de sécurité dans son portefeuille multisig, qui n’aurait exigé qu’une seule confirmation sur 12, permettant à un attaquant de retirer environ 60 000 $ en SOL de la trésorerie. La faille a été liée à la compromission du compte d’un fondateur, même si certains membres de la communauté ont soupçonné une implication interne en raison du faible seuil de confirmation.

Répercussions : la perte de 60 000 $ a perturbé les activités de Saga DAO, qui consistent principalement à gérer les airdrops destinés aux détenteurs de NFT Saga Genesis. L’incident a suscité des accusations de mauvaise gestion et érodé la confiance de la communauté, la trésorerie de la DAO ayant rapidement dépassé 1 000 SOL avant la faille.

Réponse à l’incident : Saga DAO a reconnu la faille le 24 janvier 2024 et écarté les personnes impliquées de leurs fonctions dirigeantes. L’équipe s’est engagée à enquêter et à mettre en place des mesures de protection, mais aucun fonds n’a été récupéré et les détails du piratage sont restés flous.

Mesures correctives : des projets visant à renforcer la sécurité du portefeuille multisig ont été annoncés, notamment des seuils de confirmation plus élevés et de meilleurs contrôles d’accès, mais aucune mise à jour concrète n’avait été communiquée au début de 2025.

Enseignements tirés : les faibles seuils de confirmation des portefeuilles multisig exposent les DAO à des risques importants et exigent une gouvernance ainsi que des protocoles de sécurité robustes pour protéger les fonds de la communauté, en particulier lorsque les trésoreries connaissent une croissance rapide.

Pertes des utilisateurs : 60 000 $, non remboursés, sans récupération signalée, ce qui a affecté la capacité de la DAO à distribuer les récompenses d’airdrop.

Références et citations :

• Medium (Coinmonks) : « Saga DAO a-t-elle été victime d’un rug pull commis par l’un des siens ? », 26 janvier 2024
• Reddit (r/solana) : « Le fondateur de Solana Saga DAO accusé d’un piratage interne de 60 000 $ », 26 janvier 2024

Exploit de Solareum (mars 2024)

Cause profonde : une faille de sécurité, impliquant prétendument un développeur nord-coréen recruté par Solareum, a compromis les portefeuilles des utilisateurs en exploitant les clés privées importées dans le bot Telegram. L’attaquant a probablement accédé aux clés par l’intermédiaire d’une vulnérabilité d’un service tiers, éventuellement une URL de connexion MongoDB, et vidé les fonds de 302 à 309 portefeuilles d’utilisateurs.

Répercussions : entre 520 000 $ et 1,4 million de dollars en SOL (2 808 à 6 045 SOL) ont été volés, touchant plus de 300 utilisateurs. Solareum a définitivement fermé en raison de l’exploit, du manque de fonds et des difficultés du marché, laissant les utilisateurs réclamer une indemnisation.

Réponse à l’incident : Solareum a reconnu l’exploit le 29 mars 2024 et cessé ses activités le 2 avril, en demandant aux utilisateurs de récupérer leurs actifs. L’équipe a contacté les autorités pour faire geler les fonds sur les plateformes d’échange centralisées, et Tether a gelé 975 000 $. Aucun remboursement des utilisateurs n’a été promis.

Mesures correctives : aucune, car Solareum a cessé ses activités. L’incident a souligné la nécessité d’intégrations tierces sécurisées et d’une vérification rigoureuse des développeurs dans les applications DeFi.

Enseignements tirés : les bots de trading sur Telegram sont vulnérables aux fuites de clés privées et aux menaces internes, ce qui nécessite des audits de sécurité robustes, une gestion sécurisée des clés et une grande prudence à l’égard des services tiers.

Pertes des utilisateurs : entre 520 000 $ et 1,4 million de dollars, non remboursés, sans récupération signalée malgré le gel partiel des fonds.

Références et citations :

• Decrypt : « Un bot de trading Solana sur Telegram ferme après le vol de 523 000 $ à ses utilisateurs », 2 avril 2024
• Cointelegraph : « Le bot de trading Telegram Solareum ferme quelques jours après un exploit de 520 000 $ », 2 avril 2024
• DL News : « Comment un développeur nord-coréen a trompé l’équipe d’un bot de trading Solana et volé 1,4 M$ », 30 janvier 2025

Attaque contre les métadonnées des GPU d’io.net (avr. 2024)

Cause profonde : des acteurs malveillants ont usurpé environ 400 000 GPU virtuels sur le réseau décentralisé de GPU d’io.net en détournant le processus d’enregistrement des workers de la plateforme. Les attaquants ont manipulé les métadonnées pour gonfler le nombre de workers actifs, ce qui pouvait perturber l’allocation des ressources et l’intégrité du réseau.

Répercussions : l’attaque n’a entraîné aucune perte financière directe, car aucun fonds d’utilisateur n’a été volé. Elle a toutefois mis le réseau d’io.net sous pression en y introduisant de faux workers, ce qui risquait de provoquer des inefficacités opérationnelles et de saper la confiance dans l’allocation des GPU de la plateforme pendant sa phase bêta.

Réponse à l’incident : l’équipe de sécurité d’io.net a détecté l’usurpation le 18 avril 2024 et commencé à signaler automatiquement les comptes malveillants afin de les supprimer. L’équipe a conservé certains faux workers pour étudier l’attaque, assurant ainsi une surveillance et une atténuation continues sans interrompre les services.

Mesures correctives : io.net a mis en place des processus renforcés de vérification des workers afin d’empêcher l’usurpation des métadonnées.

Enseignements tirés : les réseaux de calcul décentralisés sont vulnérables à la manipulation des métadonnées et nécessitent des mécanismes de validation robustes pour garantir l’intégrité des ressources fournies et prévenir les abus.

Pertes des utilisateurs : aucune ; l’attaque n’a entraîné aucune perte financière directe, car elle visait à perturber le réseau plutôt qu’à voler des actifs.

Références et citations

• Cointelegraph : « io.net répond à l’attaque contre les métadonnées des GPU », 18 avril, 2024
• io.net Medium : « Rapport sur l’incident du 25 avril. Vue d’ensemble du problème » 27 avril 2024
• The Block : « Le CEO du DePIN io.net basé sur Solana affirme que le réseau a été attaqué dans une analyse post-mortem détaillée » 28 avril 2024

Exploit de Pump.fun (mai 2024)

Cause première : un ancien employé de Pump.fun a exploité son accès privilégié aux autorisations de retrait pour mener une attaque par prêt flash à l’aide d’un protocole de prêt Solana. L’attaquant a utilisé les SOL empruntés pour gonfler artificiellement la valeur des tokens. En poussant la valeur des tokens à 100 % sur la courbe de liaison, l’attaquant a accédé à 1,9 million de dollars de liquidités de la courbe de liaison afin de rembourser le prêt et de conserver le bénéfice.

Répercussions : environ 1,9 million de dollars en SOL (12 300 SOL) ont été dérobés, affectant 1 882 adresses de portefeuille. Les premiers rapports de la communauté ont exagéré les pertes en les estimant à 80 millions de dollars, mais l’impact réel s’est limité à 1,9 million de dollars sur les 45 millions de dollars de liquidités de la plateforme.

Réponse à l’incident : Pump.fun a interrompu les échanges à 17 h 00 UTC le 16 mai 2024 et redéployé les programmes de courbe de liaison en quelques heures. L’équipe a réapprovisionné les pools de liquidités affectés avec une quantité égale ou supérieure de SOL dans les 24 heures et supprimé les frais de transaction pendant sept jours afin de rétablir la confiance des utilisateurs.

Mesures correctives : renforcement de la sécurité des programmes afin de révoquer les accès non autorisés et mise en place de contrôles d’accès internes plus stricts pour prévenir de futures exploitations par des initiés.

Enseignements : les menaces internes et les vulnérabilités liées aux accès privilégiés peuvent contourner les protections DeFi, ce qui impose une supervision rigoureuse des employés et une conception sécurisée des programmes.

Pertes des utilisateurs : 1,9 million de dollars, entièrement compensés ; le plan d’indemnisation de Pump.fun a rétabli les liquidités affectées, garantissant l’absence de pertes nettes pour les utilisateurs.

Références et citations :

• NewsBTC : « Bilan de l’incident crypto : comment Pump.Fun a été exploité à hauteur de 2 millions de dollars », 18 mai 2024
• Coinpedia : « La plateforme crypto pump.fun reprend ses activités après un détournement commis par un employé », 17 mai 2024

Exploitation de Banana Gun (sept. 2024)

Cause première : une vulnérabilité dans l’oracle de messages Telegram de Banana Gun a permis à un attaquant d’intercepter des messages et de transférer manuellement 563 ETH (1,4 million de dollars) depuis 11 portefeuilles d’utilisateurs pendant des sessions de trading en direct. La faille affectait les bots Ethereum et Solana et ciblait des traders expérimentés ayant une présence notable sur les réseaux sociaux ou dans le trading.

Répercussions : environ 1,4 million de dollars ont été dérobés. Le montant initialement annoncé était de 3 millions de dollars et concernait 36 utilisateurs, avant d’être rectifié à 1,4 million de dollars répartis entre 11 utilisateurs. L’incident a ébranlé la confiance dans les bots de trading basés sur Telegram et suscité des inquiétudes au sein de la communauté concernant les vulnérabilités front-end.

Réponse à l’incident : Banana Gun a arrêté ses bots Ethereum et Solana quelques minutes après l’incident, le 19 septembre 2024, corrigé la vulnérabilité de l’oracle Telegram, puis redéployé les bots le 20 septembre. Les utilisateurs affectés ont obtenu la promesse d’un remboursement intégral depuis la trésorerie, sans vente de tokens.

Mesures correctives : mise en place d’un délai de transfert de deux heures, ajout de l’authentification à deux facteurs pour les transactions et partenariat avec Security Alliance pour mener des audits et des tests d’intrusion afin de renforcer la sécurité front-end.

Enseignements : les bots basés sur Telegram sont vulnérables aux exploitations des oracles et du front-end. Des mesures de sécurité et une vérification des utilisateurs robustes sont nécessaires pour les protéger contre les attaques ciblant les traders à forte valeur.

Pertes des utilisateurs : 1,4 million de dollars, entièrement compensés ; la trésorerie de Banana Gun a remboursé tous les utilisateurs affectés, garantissant l’absence de pertes nettes.

Références et citations :

• Cointelegraph : « Le bot Telegram Banana Gun assumera les 3 millions de dollars de pertes dues au piratage », 25 septembre 2024
• The Block : « Banana Gun promet de rembourser les 3 millions de dollars dérobés aux utilisateurs affectés », 25 septembre 2024
• QuillAudits : « Comprendre comment Banana Gun a déraillé : une exploitation à 3 millions de dollars », 5 janvier 2025

Exploitation de DEXX (nov. 2024)

Cause première : en raison d’une gestion inadéquate des clés, la fuite d’une clé privée dans le modèle de conservation centralisée de DEXX a permis à un attaquant d’accéder aux portefeuilles des utilisateurs et de les vider. L’affichage en texte brut des clés privées lors des requêtes `export_wallet` sur le serveur officiel a facilité la compromission.

Répercussions : environ 30 millions de dollars d’actifs ont été dérobés, affectant plus de 900 utilisateurs uniques et plus de 8 620 portefeuilles Solana. La plupart des victimes ont perdu moins de 10 000 dollars, mais un utilisateur a perdu plus de 1 million de dollars. L’attaquant a converti les altcoins volés en SOL, compliquant leur récupération.

Réponse à l’incident : DEXX a interrompu ses activités le 16 novembre 2024 et collaboré avec SlowMist et les forces de l’ordre pour suivre les fonds. Une prime aux bugs et une offre de restitution sous 24 heures ont été proposées, mais aucun fonds n’a été récupéré. L’équipe a annoncé un plan d’indemnisation conditionné à la récupération des fonds.

Mesures correctives : les améliorations prévues comprennent une version de portefeuille auto-hébergée, un renforcement de la sécurité du cloud et une refonte complète du cadre de sécurité afin de prévenir de futures fuites de clés.

Enseignements : la conservation centralisée des clés privées sur les plateformes DeFi présente des risques importants. Une gestion sécurisée des clés et des communications chiffrées sont indispensables pour protéger les actifs des utilisateurs.

Pertes des utilisateurs : 30 millions de dollars, non remboursés, sans aucune récupération signalée au 29 novembre 2024.

Références et citations :

• Cointelegraph : « Plus de 8 600 portefeuilles Solana liés au pirate de DEXX et à ses 21 millions de dollars », 29 novembre 2024
• Cryptopolitan : « Plus de 8 620 portefeuilles Solana ont été liés au piratage de DEXX », 11 décembre 2024
• ChainCatcher : « CertiK : l’incident DEXX résulte d’une mauvaise gestion des clés privées par l’équipe du projet », 16 novembre 2024

Exploitation de la plateforme NoOnes (janv. 2025)

Cause première : une vulnérabilité dans le bridge inter-chaînes Solana de NoOnes a permis à des attaquants d’exploiter les portefeuilles chauds de la plateforme et d’effectuer des centaines de petites transactions, chacune inférieure à 7 000 dollars, sur Ethereum, TRON, Solana et Binance Smart Chain.

Répercussions : environ 7,9 à 8 millions de dollars en crypto-actifs ont été dérobés. Les fonds ont été transférés vers Ethereum et Binance Smart Chain, puis acheminés vers Tornado Cash afin d’être mélangés, ce qui a compliqué les efforts de récupération.

Réponse à l’incident : l’équipe de sécurité de NoOnes a circonscrit la compromission le 1er janvier 2025 et suspendu le bridge Solana. Le CEO Ray Youssef a confirmé l’exploitation le 24 janvier 2025, après l’enquête de ZachXBT, en assurant que les fonds et les données des utilisateurs étaient restés en sécurité. Le bridge demeure inactif dans l’attente de tests d’intrusion.

Mesures correctives : des tests d’intrusion complets et un renforcement de la sécurité du bridge sont prévus afin de prévenir de futures exploitations, mais les correctifs précis n’ont pas été communiqués.

Enseignements : les bridges inter-chaînes exigent une sécurité robuste pour empêcher les accès non autorisés, ce qui souligne la nécessité de tests et d’une surveillance rigoureux sur les plateformes P2P.

Pertes des utilisateurs : 7,9 à 8 millions de dollars, non remboursés et sans récupération signalée, les fonds ayant été mélangés via Tornado Cash.

Références et citations :

• CryptoSlate : « NoOnes reconnaît une exploitation de 8 millions de dollars après les inquiétudes soulevées par ZachXBT », 24 janvier 2025
• ChainCatcher : « Le CEO de NoOnes confirme une précédente attaque informatique due à une vulnérabilité de son bridge inter-chaînes Solana », 26 janvier 2025

Exploitation de Loopscale (avr. 2025)

Cause première : le 26 avril 2025, un attaquant a exploité une vulnérabilité du mécanisme de tarification des garanties RateX Principal Token (PT) de Loopscale. En manipulant le flux de prix de l’oracle, l’attaquant a artificiellement gonflé la valeur perçue des tokens RateX PT, permettant une série de prêts sous-garantis. Cela a permis de retirer environ 5,7 millions d’USDC et 1 200 SOL, valorisés à ~5,8 millions de dollars, des Genesis Vaults USDC et SOL de Loopscale.

Répercussions : l’exploitation a vidé ~12 % de la valeur totale verrouillée (TVL) de Loopscale, qui s’élevait à ~40 millions de dollars avant l’incident. L’attaque a déclenché des liquidations en cascade et des appels de marge sur des plateformes DeFi Solana interconnectées, provoquant une volatilité des prix du SOL et de l’USDC sur les plateformes d’échange décentralisées. La confiance des investisseurs envers les protocoles DeFi émergents a diminué, renforçant la surveillance réglementaire et limitant les flux de capitaux.

Réponse à l’incident : Loopscale a détecté l’exploitation le 26 avril 2025 à 11 h 30 EST et immédiatement suspendu tous les marchés de prêt ainsi que les retraits des vaults afin d’éviter des pertes supplémentaires. Les remboursements de prêts, les ajouts de garanties et les clôtures de boucles ont été réactivés plus tard dans la journée. L’équipe a entamé des négociations avec l’attaquant en lui proposant une prime aux bugs de 10 % et une immunité contre les poursuites judiciaires. Le 29 avril, tous les fonds dérobés (5 726 725 USDC et 1 211 SOL) avaient été restitués à l’issue des négociations.

Mesures correctives : Loopscale a mené une revue du code avec Sec3 et publié une version corrigée du protocole. Les retraits des vaults ont été réactivés le 8 mai 2025. L’équipe s’est engagée à réaliser des audits de sécurité continus, à renforcer la validation des oracles et à améliorer les mécanismes de tarification des garanties. Un bilan complet de l’incident a été publié, détaillant la vulnérabilité et les futures améliorations de sécurité.

Enseignements : l’incident a mis en évidence les risques de manipulation des oracles dans les protocoles DeFi, en particulier pour les nouveaux modèles de tarification des garanties. Une validation complète de la logique métier, des audits multicouches et des architectures d’oracle robustes sont essentiels pour prévenir ces exploitations. Une réponse rapide et une communication transparente peuvent réduire l’impact sur les utilisateurs et faciliter la récupération des fonds.

Pertes des utilisateurs : aucun dépôt d’utilisateur n’a été perdu. Tous les fonds dérobés (5,8 millions de dollars) ont été récupérés, garantissant l’absence d’impact financier pour les déposants des vaults USDC et SOL.

Références et citations :

• Déclaration officielle de Loopscale : @LoopscaleLabs, annonce de la récupération des fonds, 29 avril 2025
• The Block : « Le protocole DeFi Solana Loopscale victime d’une exploitation de 5,8 millions de dollars deux semaines après son lancement », 27 avril 2025
• Halborn : « Explication du piratage de Loopscale (avril 2025) », 30 avril 2025
• Blockworks : « Loopscale perd 5,8 millions de dollars lors d’une attaque d’oracle », 29 avril 2025

Attaques de la chaîne d’approvisionnement

Définition

Les attaques de la chaîne d’approvisionnement sont des incidents de sécurité qui compromettent l’intégrité d’une plateforme ou d’une application en ciblant ses dépendances externes, telles que les services tiers, les bibliothèques ou les canaux de distribution. Ces attaques exploitent les vulnérabilités de la chaîne d’approvisionnement logicielle et affectent les utilisateurs en aval ou les dApps qui dépendent du composant compromis.

Caractéristiques

• Périmètre : concerne des composants externes (par exemple, des services cloud, des dépôts de paquets ou des extensions de navigateur) intégrés aux dApps Solana ou dont elles dépendent.
• Vulnérabilités courantes : comprennent les attaques de phishing visant les comptes de développeurs, les mises à jour malveillantes de paquets logiciels ou le détournement DNS redirigeant les utilisateurs vers des sites de phishing.
• Impact : entraîne le vol de fonds, la compromission des identifiants des utilisateurs ou l’accès non autorisé aux portefeuilles. Affecte les utilisateurs qui interagissent avec le service compromis.

Incidents liés à la chaîne d’approvisionnement

Attaque du front-end de Parcl (août 2024)

Cause première : une attaque par détournement DNS a compromis le front-end de Parcl en modifiant les paramètres de son domaine et en redirigeant les utilisateurs vers un site malveillant. Les attaquants ont extrait des tokens de portefeuilles Solana et affiché de faux résultats de transactions dans Phantom en exploitant l’interface web de la plateforme.

Répercussions : l’attaque a vidé des portefeuilles d’utilisateurs d’un montant non communiqué de tokens, sans qu’aucun chiffre précis ne soit fourni. Le compte X de Parcl semblait également compromis, ce qui a accentué la confusion et la défiance des utilisateurs pendant l’incident.

Réponse à l’incident : Parcl a interrompu les échanges le 20 août 2024 et sécurisé son domaine en quelques heures. Le 22 août, les échanges ont repris avec des protections confirmées, et il a été conseillé aux utilisateurs de vérifier le site officiel avant toute interaction.

Mesures correctives : renforcement des mesures de sécurité DNS, notamment par des contrôles d’accès Cloudflare plus stricts et une surveillance du domaine, afin de prévenir de futures tentatives de détournement.

Enseignements : les vulnérabilités front-end, en particulier les attaques basées sur le DNS, présentent des risques importants pour les plateformes DeFi. Elles exigent une sécurité robuste des services tiers et une sensibilisation des utilisateurs pour éviter les sites de phishing.

Pertes des utilisateurs : montant non communiqué et non remboursé ; aucune récupération ni indemnisation précise n’a été signalée.

Références et citations :

• BlockBeats : « Le front-end du site officiel de Parcl est soupçonné d’avoir été attaqué », 20 août 2024
• Quadrigainitiative : « Front-end et compte Twitter de Parcl compromis à des fins de phishing »

Attaque de la chaîne d’approvisionnement de Web3.js (déc. 2024)

Cause première : une campagne de harponnage a compromis un compte disposant d’un accès de publication pour @solana /web3.js, permettant à un attaquant de publier des versions malveillantes du paquet npm (1.95.6 et 1.95.7). Ces versions contenaient du code conçu pour dérober des données de clés privées dans les dApps qui géraient directement les clés, déclenché par des appels de méthodes spécifiques.

Répercussions : entre 30 et 50 millions de dollars d’actifs auraient été potentiellement menacés, bien que les pertes exactes ne soient pas confirmées en raison de la courte fenêtre d’exposition, de 15 h 20 à 20 h 25 UTC. L’attaque ciblait les dApps Solana, comme les bots de trading, mais n’a affecté ni les portefeuilles non dépositaires ni le protocole Solana.

Réponse à l’incident : l’équipe Web3.js a marqué les versions 1.95.6 et 1.95.7 comme obsolètes à 20 h 52 UTC le 3 décembre 2024, puis les a supprimées de npm à 0 h 22 UTC le 4 décembre. Les développeurs ont été invités à passer à la version 1.95.8 et à remplacer les clés suspectes. Aucun fonds volé n’a été récupéré.

Mesures correctives : révocation des identifiants npm compromis, rétablissement de la version 1.95.5 comme version la plus récente et planification de mesures de sécurité renforcées, notamment des contrôles d’accès plus stricts et l’authentification à deux facteurs pour la publication des paquets.

Enseignements : les attaques de la chaîne d’approvisionnement visant des bibliothèques critiques peuvent compromettre des écosystèmes entiers. Une authentification robuste, une surveillance des paquets et la vigilance des développeurs sont indispensables pour prévenir les mises à jour malveillantes.

Pertes des utilisateurs : selon certaines sources, les pertes non remboursées s’élèvent à ~130 000 dollars ; elles dépendaient du déploiement des versions malveillantes par les dApps, et aucune récupération n’a été signalée.

Références et citations :

• Mend.io : « Attaque npm de Solana : comment @solana/web3.js a été compromis », 5 décembre 2024
• SecurityWeek : « Une porte dérobée introduite dans la bibliothèque Solana Web3.js lors d’une attaque de la chaîne d’approvisionnement », 4 décembre 2024
• Cyfrin : « Avis de sécurité : @solana/web3.js v1.95.6 et v1.95.7 sont compromises », 4 décembre 2024

Attaques au niveau du réseau

Définition

Les attaques au niveau du réseau sont des incidents de sécurité qui ciblent l’infrastructure prenant en charge les dApps ou plateformes Solana, comme les sites web ou les serveurs, plutôt que la blockchain ou la logique applicative. Ces attaques visent à perturber l’accès ou la disponibilité, généralement au moyen de techniques de déni de service distribué (DDoS).

Caractéristiques

• Périmètre : affecte l’infrastructure réseau (par exemple, les serveurs web et les API) des plateformes basées sur Solana, et non la blockchain ou les programmes.
• Vulnérabilités courantes : comprennent la saturation des serveurs par du trafic (DDoS) afin de perturber l’accès des utilisateurs, souvent lors d’événements à fort trafic comme les airdrops.
• Impact : provoque des interruptions temporaires du service ou un ralentissement des accès, mais généralement aucune perte financière directe, sauf en association avec d’autres exploitations. Affecte les utilisateurs en leur occasionnant des désagréments.

Incidents au niveau du réseau

Incident de l’IDO de Grape Protocol (sept. 2021)

Cause première : des bots ont submergé l’IDO de Grape Protocol sur Raydium avec 400 000 transactions par seconde, saturant les files de traitement des transactions de Solana. La charge excessive a épuisé la mémoire des nœuds validateurs, entraînant des forks du réseau et une interruption par déni de service (DoS).

Répercussions : le réseau Solana a été interrompu pendant 17 heures, les 14 et 15 septembre 2021, perturbant toutes les transactions et dApps. Le cours du SOL a chuté de 15 %, passant de 170 à 145 dollars, et l’IDO de Grape, d’un montant de 600 000 dollars, s’est déroulée de manière chaotique, bien qu’aucun fonds n’ait été directement dérobé.

Réponse à l’incident : les ingénieurs de Solana et plus de 1 000 validateurs ont coordonné un hard fork, redémarrant le réseau au slot 96 528 693 le 15 septembre 2021 avec un consensus de 80 %. Un correctif (v1.6.25) a été déployé pour stabiliser le traitement des transactions.

Mesures correctives : pour réduire les inondations de trafic provoquées par les bots, Solana a amélioré la déduplication des transactions, optimisé la gestion des files d’attente et renforcé la gestion de la mémoire des validateurs. Raydium a introduit des mesures anti-bots pour les futures IDO.

Enseignements : les IDO très demandées peuvent déclencher des attaques au niveau du réseau par le spam de bots. Des protections anti-bots robustes et une infrastructure évolutive sont indispensables pour préserver la stabilité de la blockchain.

Pertes des utilisateurs : aucune perte directement liée à un vol ; des pertes indirectes ont résulté de la volatilité du cours du SOL et des perturbations des transactions, sans aucun remboursement signalé.

Références et citations

• CoinDesk : « La blockchain Solana redémarre après une panne de 17 heures provoquée par des bots », 15 septembre 2021
• CoinTelegraph : « Solana attribue une panne majeure à une attaque par déni de service visant une offre DEX », 21 septembre 2021
• The Block : « Le protocole Grape basé sur Solana lève 1,2 million de dollars lors d’un financement d’amorçage », 24 septembre 2021

Panne lors du mint de NFT avec Candy Machine (avr. 2022)

Cause première : une nuée de bots a submergé Metaplex Candy Machine, un outil populaire de mint de NFT sur Solana, avec 4 millions de requêtes de transaction et 100 gigabits de données par seconde, saturant les protections du réseau et excluant les validateurs du consensus.

Répercussions : le réseau Solana a subi une panne de 7 heures, interrompant la production de blocs de 16 h 32 à 23 h 00 ET et provoquant une baisse de 10 % du cours du SOL, à 83,13 dollars. Des services de l’écosystème comme le portefeuille Phantom et Mango Markets ont été perturbés.

Réponse à l’incident : les validateurs ont redémarré le cluster Mainnet Beta à 3 h 00 UTC le 1er mai 2022, rétablissant les services. Metaplex a annoncé une pénalité anti-bots de 0,01 SOL pour décourager les transactions non valides, déployée peu après.

Mesures correctives : Metaplex a mis en place une pénalité anti-bots et prévu des améliorations du programme Candy Machine afin de stabiliser le trafic. Les développeurs de Solana ont poursuivi leur enquête pour déterminer pourquoi les protections avaient échoué.

Enseignements : les outils de mint de NFT à fort trafic nécessitent des mesures anti-bots robustes et une capacité réseau suffisante pour éviter les pannes, ce qui souligne les défis d’évolutivité de Solana lors des pics de demande.

Pertes des utilisateurs : aucune perte directement liée à un vol ; des pertes indirectes ont résulté de la volatilité du cours du SOL et des perturbations des transactions, sans aucun remboursement signalé.

Références et citations :

• CoinDesk : « Solana s’éteint pendant 7 heures alors que des bots submergent l’outil de mint de NFT “Candy Machine” », 1er mai 2022
• NFT Plazas : « Une nuée de bots provoque une panne majeure du réseau Solana », 3 mai 2022

Attaque DDoS contre Jito (déc. 2023)

Cause première : une attaque par déni de service distribué (DDoS) a submergé le site web de Jito avec un trafic excessif, perturbant l’accès pendant le lancement de l’airdrop du token JTO. L’attaque, probablement menée par des escrocs cherchant à obtenir une rançon, ciblait l’infrastructure serveur de la plateforme et non ses programmes basés sur Solana.

Répercussions : l’attaque a provoqué des interruptions temporaires, ralentissant ou bloquant l’accès de certains utilisateurs au portail de réclamation de l’airdrop de Jito. Aucun fonds n’a été dérobé et l’airdrop de 90 millions de tokens JTO (~225 millions de dollars) s’est poursuivi, avec plus de 54 millions de tokens réclamés.

Réponse à l’incident : Jito a neutralisé l’attaque en quelques minutes et rétabli le fonctionnement du site web avant le 7 décembre 2023. L’équipe n’a pas communiqué de détails sur la rançon, mais a confirmé qu’aucun actif d’utilisateur ni aucun élément de sécurité du protocole n’avait été compromis.

Mesures correctives : renforcement des protections anti-DDoS, notamment par le filtrage du trafic et la sécurisation des serveurs, afin de prévenir de futures perturbations lors d’événements à fort trafic comme les airdrops.

Enseignements : les plateformes DeFi sont des cibles privilégiées des attaques au niveau du réseau lors d’événements majeurs. Elles nécessitent une sécurité d’infrastructure robuste pour garantir aux utilisateurs un accès ininterrompu.

Pertes des utilisateurs : aucune ; l’attaque DDoS a perturbé l’accès, mais n’a entraîné ni vol de fonds ni pertes directes pour les utilisateurs.

Références et citations :

• Decrypt : « L’airdrop de Jito distribue 225 millions de dollars aux utilisateurs de Solana », 8 décembre 2023
• Cryptopolitan : « L’airdrop de Jito récompense les utilisateurs de Solana avec 225 millions de dollars », 8 décembre 2023

Attaque DDoS contre le portefeuille Phantom (févr. 2024)

Cause première : une attaque par déni de service distribué (DDoS) a ciblé l’infrastructure du portefeuille Phantom et submergé ses systèmes avec un trafic excessif. L’attaque, qui exploitait probablement la forte visibilité de l’airdrop de Jupiter (JUP), visait à perturber la disponibilité du service en inondant les serveurs de requêtes, bien qu’aucune vulnérabilité précise n’ait été détaillée.

Répercussions : pendant plusieurs heures, l’attaque a temporairement interrompu les services de Phantom, notamment l’accès aux portefeuilles et le traitement des transactions. Aucun fonds d’utilisateur n’a été compromis, les actifs étant restés sécurisés sur Solana. L’incident a coïncidé avec un examen accru après l’intégration de Bitcoin, des Ordinals et des tokens BRC-20 par Phantom.

Réponse à l’incident : l’équipe de Phantom a reconnu l’attaque sur X le 1er février 2024 à 15 h 20 UTC, rassurant les utilisateurs sur la sécurité de leurs actifs. Les services ont été suspendus pour atténuer l’attaque, puis rétablis le 2 février, avec une mise à jour confirmant la résolution. Aucun fonds n’a été perdu et aucun autre détail sur l’attaque n’a été communiqué.

Mesures correctives : Phantom a mis en place des mesures renforcées d’atténuation des DDoS, sans en communiquer les détails. L’équipe a insisté sur l’amélioration continue de la sécurité afin de gérer les événements à fort trafic et d’éviter de futures perturbations.

Enseignements : les événements très médiatisés comme les airdrops attirent les attaques DDoS. Des défenses réseau robustes, le filtrage du trafic et une infrastructure évolutive sont nécessaires pour maintenir la disponibilité des portefeuilles DeFi, en particulier sur le réseau à haut débit de Solana.

Pertes des utilisateurs : aucune ; l’attaque a provoqué des interruptions temporaires du service, mais aucune perte financière, les actifs des utilisateurs étant restés sécurisés.

Références et citations

• TheNewsCrypto : « Le portefeuille Phantom de Solana touché par une attaque DDoS, ses services temporairement désactivés », 2 février 2024
• CryptoNews.net : « Le portefeuille Phantom de Solana touché par une attaque DDoS, ses services temporairement désactivés », 2 février 2024
• Phantom sur X : annonce de l’attaque DDoS, 1er février 2024

Vulnérabilités du protocole principal

Définition

Les vulnérabilités du protocole principal sont des incidents de sécurité qui exploitent des failles du protocole Solana lui-même, notamment dans son mécanisme de consensus, la validation des transactions ou l’architecture du réseau. Elles affecteraient l’ensemble de la blockchain et compromettraient son intégrité, sa sécurité ou sa disponibilité.

Caractéristiques

• Périmètre : affecte la blockchain Solana à son niveau fondamental, ainsi que tous les nœuds, toutes les transactions ou toutes les dApps.
• Vulnérabilités courantes : pourraient comprendre des bugs de l’algorithme de consensus, des vulnérabilités dans le traitement des transactions ou des failles des mécanismes cryptographiques de la blockchain.
• Impact : provoquerait probablement des perturbations à l’échelle du réseau, des pertes de fonds dans les dApps ou une compromission de l’intégrité de la blockchain. Affecte tous les utilisateurs et protocoles sur Solana.

Incidents du protocole principal

Incident lié au bug Turbine de Solana (déc. 2020)

Cause première : un bug de propagation des blocs dans Turbine, le mécanisme de propagation des blocs de Solana, a amené un validateur à transmettre deux blocs différents pour le même slot, lesquels ont été propagés vers des partitions distinctes du réseau (A et B). Une troisième partition a détecté l’incohérence, mais aucune n’a atteint le consensus à la majorité qualifiée en raison d’une quantité de stake insuffisante, interrompant la production de blocs. Le problème provenait du suivi des blocs par numéro de slot Proof of History (PoH) (u64), plutôt que par hash. Les nœuds interprétaient ainsi des blocs distincts comme identiques, empêchant la réparation du fork.

Répercussions : Solana a subi une panne de six heures, perturbant toutes les transactions et dApps. Le réseau s’est divisé en plusieurs partitions, les nœuds rejetant les forks opposés en raison de transitions d’état différentes, ce qui a empêché la finalité. Aucun fonds n’a été perdu, mais la confiance des premiers utilisateurs a été mise à l’épreuve.

Réponse à l’incident : les validateurs ont coordonné un redémarrage du réseau avec une participation représentant 80 % du stake, permettant la reprise de la production de blocs avant le 8 décembre 2020. L’équipe Solana a identifié le bug et déployé des correctifs pour résoudre les problèmes de suivi des blocs et de détection des défaillances.

Mesures correctives : mise en place du suivi des blocs par hash plutôt que par numéro de slot afin de distinguer les blocs conflictuels, activation d’une détection plus précoce des défaillances dans Turbine et propagation de celles-ci à tous les validateurs via gossip. Ces modifications ont permis aux nœuds de réparer les forks et de résoudre les partitions, empêchant des défaillances similaires du consensus.

Enseignements : les systèmes de propagation de blocs doivent identifier chaque bloc de manière unique par son hash afin d’éviter les erreurs d’identification. Des mécanismes robustes de détection des défaillances et de gossip sont nécessaires pour maintenir le consensus sur les blockchains à haut débit comme Solana.

Pertes des utilisateurs : aucune ; la panne a provoqué des perturbations, mais aucune perte financière directe, car aucune transaction n’a été traitée pendant l’interruption.

Références et citations

• Helius Labs : « Histoire complète des pannes de Solana : causes et correctifs », 23 février 2025

Incident lié au bug des nonces durables de Solana (juin 2022)

Cause première : un bug d’exécution dans la fonctionnalité de transactions à nonce durable de Solana a permis qu’une transaction ayant échoué soit traitée deux fois, d’abord comme une transaction normale, puis comme une transaction à nonce, en raison d’un blockhash récent. Cela a entraîné un non-déterminisme : les validateurs ont produit des résultats contradictoires, interrompant le consensus à 16 h 30 UTC.

Répercussions : Solana a cessé de produire des blocs pendant 4,5 heures, perturbant les transactions et les dApps. Le cours du SOL a chuté de 13,9 %, à 39,08 dollars, tandis que le volume des échanges a augmenté de 61 %, pour atteindre 2,141 milliards de dollars.

Réponse à l’incident : les opérateurs de validateurs ont redémarré le réseau à 21 h 00 UTC le 1er juin 2022, en désactivant la fonctionnalité de nonce durable dans les versions v1.9.28/v1.10.23. Les services clients ont été rétablis sur plusieurs heures, sans perte de fonds.

Mesures correctives : la fonctionnalité de nonce durable est restée désactivée jusqu’à ce qu’un correctif dans la v1.10.23 empêche le double traitement en séparant les domaines de nonce et de blockhash. Une logique de validation renforcée a également été mise en place.

Enseignements : les transactions à nonce durable nécessitent des mécanismes robustes empêchant leur double traitement, ce qui souligne la nécessité de tester en profondeur les fonctionnalités de protocole spécialisées afin de préserver la stabilité du réseau.

Pertes des utilisateurs : aucune perte directement liée à un vol ; des pertes indirectes ont résulté de la volatilité du cours du SOL et de l’interruption des transactions, sans aucun remboursement signalé.

Références et citations

• Solana : « Rapport sur la panne de Solana Mainnet Beta du 01/06/2022 », 5 juin 2022
• Cointelegraph : « Les développeurs de Solana s’attaquent aux bugs dans l’espoir d’éviter de nouvelles pannes », 7 juin 2022
• Decrypt : « Un bug met la blockchain Solana hors service pendant quatre heures », 2 juin 2022

Incident lié au bug des blocs dupliqués de Solana (sept. 2022)

Cause première : un validateur défectueux a produit des blocs dupliqués pour ses slots de leader en raison d’un bug dans la logique de sélection de fork de Solana. Lorsque les validateurs n’ont pas pu revenir à la banque la plus lourde si son slot correspondait à leur dernier slot ayant reçu un vote, ils sont restés bloqués, empêchant le consensus et interrompant le réseau. Le problème a été aggravé par un nombre insuffisant de votes confirmés, ce qui a bloqué la production de nouveaux blocs racines.

Répercussions : Solana a interrompu les confirmations de blocs pendant plusieurs heures, perturbant les transactions et les dApps. Un bug secondaire lors du redémarrage a provoqué des fluctuations du montant de stake actif en raison d’une erreur du mécanisme d’inflation, entraînant le dépassement de capacité d’un entier non signé de 64 bits.

Réponse à l’incident : les validateurs ont redémarré le réseau en s’alignant sur un snapshot de confiance afin de rétablir le consensus. Le bug de dépassement de capacité du stake a été rapidement identifié et corrigé avant un second redémarrage, permettant le rétablissement du réseau avant le 1er octobre 2022.

Mesures correctives : les versions ultérieures du client Solana ont introduit un mécanisme donnant la priorité aux transactions de vote afin d’éviter qu’elles soient submergées par les transactions ordinaires, et corrigé la faille de sélection de fork pour permettre aux validateurs de basculer vers le fork le plus lourd.

Enseignements : la logique de sélection de fork doit gérer les blocs dupliqués de manière robuste afin de maintenir le consensus. Cela souligne la nécessité d’améliorer la priorisation des votes et la précision du calcul du stake dans les blockchains à haut débit.

Pertes des utilisateurs : aucune perte directement liée à un vol ; des pertes indirectes ont résulté des perturbations des transactions, sans aucun remboursement signalé.

Références et citations

• Helius Labs : « Histoire complète des pannes de Solana : causes et correctifs », 23 février 2025

Incident lié à la défaillance de Turbine sur Solana (févr. 2023)

Cause première : un seul bloc volumineux a submergé la logique de déduplication de Turbine en raison de services de transfert de blocs défaillants, qui retransmettaient continuellement les shreds du bloc. Cela a saturé les filtres de déduplication et créé des boucles dans l’arborescence Turbine, imposant le recours au protocole Block Repair, plus lent, et interrompant la finalisation des blocs.

Répercussions : Solana  a subi une panne de 9 heures à partir de 5 h 46 UTC, perturbant les transactions et les dApps. Le cours du SOL a chuté de 5 %, à 22,90 dollars, sans impact significatif sur la TVL.

Réponse à l’incident : les validateurs ont tenté de revenir à une version antérieure du logiciel sans interrompre le réseau, soupçonnant une mise à jour récente (v1.14.16), mais ils ont finalement redémarré le réseau à 1 h 28 UTC le 26 février 2023 à partir d’un snapshot de confiance. Aucune transaction économique n’a été annulée.

Mesures correctives : amélioration de la logique de déduplication dans les versions v1.13.7 et v1.14.17 afin de limiter la saturation des filtres. Les ingénieurs ont collaboré avec les fournisseurs de services de transfert pour améliorer la résilience et prévu de remplacer UDP par QUIC afin de mieux contrôler le trafic.

Enseignements : la logique de déduplication de Turbine doit gérer les blocs volumineux de manière robuste, ce qui souligne la nécessité d’optimiser les services de transfert et de mettre à niveau les protocoles afin d’éviter la congestion des réseaux à haut débit.

Pertes des utilisateurs : aucune perte directement liée à un vol ; des pertes indirectes ont résulté de la volatilité du cours du SOL et de l’interruption des transactions, sans aucun remboursement signalé.

Références et citations

• Solana : « Rapport sur la panne de Solana Mainnet Beta du 25/02/2023 », 24 juin 2023
• Helius Labs : « Histoire complète des pannes de Solana : causes et correctifs », 23 février 2025

Incident lié au bug du cache JIT de Solana (févr. 2024)

Cause première : un bug dans le système de cache `LoadedPrograms`, introduit dans Agave v1.16, a provoqué une boucle de recompilation infinie dans le cache JIT. Pour les programmes utilisant un chargeur hérité, une hauteur de slot sentinelle égale à zéro était attribuée aux nouvelles sorties JIT, les rendant invisibles pour `LoadedPrograms`. Cela a déclenché une recompilation continue, bloquant les validateurs sur un bloc précis et interrompant le consensus à 9 h 53 UTC.

Répercussions : Solana a subi une panne de 5 heures, perturbant les transactions et les dApps. Le cours du SOL a atteint son plus bas niveau en six jours, à 93,75 dollars, avant de remonter à 105,46 dollars en quelques jours. Plus de 95 % du stake du cluster, qui exécutait Agave v1.17, a été affecté.

Réponse à l’incident : les ingénieurs ont identifié le bug, déjà observé sur Devnet, et déployé un correctif modifié dans la v1.17.20. Les validateurs ont redémarré le réseau à 14 h 55 UTC en utilisant le snapshot du slot 246 464 040, rétablissant le consensus. Le correctif a désactivé les chargeurs hérités vulnérables.

Mesures correctives : correctif de la v1.17.20 pour empêcher la boucle de recompilation, avec une refonte complète de LoadedPrograms prévue dans les prochaines versions afin d’améliorer l’efficacité du cache et sa prise en compte des forks.

Enseignements : les programmes utilisant des chargeurs hérités nécessitent une gestion robuste du cache afin d’éviter les boucles infinies, ce qui souligne la nécessité de tests approfondis dans toutes les conditions réseau et d’un déploiement plus rapide des correctifs.

Pertes des utilisateurs : aucune perte directement liée à un vol ; des pertes indirectes ont résulté de la volatilité du cours du SOL et de l’interruption des transactions, sans aucun remboursement signalé.

Références et citations

• Solana : « Rapport sur la panne de Solana Mainnet Beta du 06/02/2024 », 9 février 2024
• Blockworks : « Selon les développeurs, la panne de Solana a été provoquée par un bug déjà identifié », 9 février 2024

Incident lié à la vulnérabilité d’alignement des adresses ELF de Solana (août 2024)

Cause première : une vulnérabilité critique dans la logique d’alignement des adresses ELF de Solana, liée au traitement des fichiers exécutables dans l’environnement d’exécution Solana, aurait pu permettre à un attaquant de manipuler l’exécution des programmes, avec le risque d’interrompre le réseau ou de permettre des actions non autorisées.

Répercussions : aucune exploitation n’a eu lieu, car la vulnérabilité a été corrigée de manière préventive. L’incident n’a eu aucun impact financier immédiat, et le cours du SOL a progressé de 0,89 %, à 155,88 dollars, reflétant la confiance suscitée par la rapidité de la réponse.

Réponse à l’incident : le 7 août 2024, la Solana Foundation a contacté en privé les opérateurs du réseau et distribué un correctif via le dépôt GitHub d’un ingénieur d’Anza. Le 8 août à 14 h 00 UTC, 66,6 % du stake du réseau était sécurisé. La divulgation publique a suivi après un taux d’adoption de 70 % le 9 août. Le correctif (v1.18.21) a été entièrement déployé sans interruption.

Mesures correctives : le correctif a résolu la faille d’alignement des adresses ELF et des contrôles de validation supplémentaires ont garanti le chargement correct des programmes. L’équipe Solana a renforcé ses protocoles de divulgation privée afin de limiter les risques d’ingénierie inverse.

Enseignements : les vulnérabilités critiques dans les composants principaux de l’environnement d’exécution, comme le traitement ELF, nécessitent un déploiement discret des correctifs et une coordination des parties prenantes afin d’éviter des pannes à l’échelle du réseau. Cela souligne l’importance d’une sécurité proactive dans les blockchains à haut débit.

Pertes des utilisateurs : aucune ; la vulnérabilité a été corrigée avant toute exploitation, évitant toute perte financière ou perturbation du réseau.

Références et citations

• Crypto Briefing : « Les développeurs et validateurs de Solana corrigent une vulnérabilité critique et évitent une panne à l’échelle du réseau », 9 août 2024
• The Block : « Les développeurs de Solana corrigent une vulnérabilité critique grâce à un déploiement coordonné », 9 août 2024
• Cointelegraph : « Solana évite une panne potentielle et corrige une vulnérabilité critique », 9 août 2024

Catégorisation et fréquence des incidents

38 incidents de sécurité vérifiés sur Solana entre mars 2020 et le premier trimestre 2025, répartis comme suit :

• Exploitations d’applications : 26 incidents (68,42 % du total)
• Attaques de la chaîne d’approvisionnement : 2 incidents (5,26 % du total)
• Attaques au niveau du réseau : 4 incidents (10,53 % du total)
• Vulnérabilités du protocole central : 6 incidents (15,79 % du total)

Fréquence par année

2020 : 1 incident  

• 1 vulnérabilité du protocole central : Solana Turbine Bug

2021 : 2 incidents 

• 1 attaque au niveau du réseau : Grape Protocol IDO Incident  
• 1 exploitation d’application : Solend Auth Bypass Attempt

2022 : 15 incidents 

• 12 exploitations d’applications : Wormhole Bridge Exploit, Cashio Exploit, Crema Finance Exploit, Audius Governance Exploit, Nirvana Finance Exploit, Slope Mobile Wallet Exploit, OptiFi Lockup Bug, Mango Markets Exploit, UXD Protocol Exploit, Tulip Protocol Exploit, Save (formerly Solend) Exploit, Raydium Exploit  
• 1 attaque au niveau du réseau : Candy Machine NFT Minting Outage  
• 2 vulnérabilités du protocole central : Solana Durable Nonce Bug Incident, Solana Duplicate Block Bug Incident

2023 : 7 incidents

• 5 exploitations d’applications : Cypher Protocol Exploit, SVT Token Exploit, Synthetify DAO Exploit, Thunder Terminal Exploit, Aurory SyncSpace Exploit  
• 1 attaque au niveau du réseau : Jito DDoS Attack  
• 1 vulnérabilité du protocole central : Solana Turbine Failure Incident

2024 : 11 incidents 

• 6 exploitations d’applications : Saga DAO Incident, Solareum Exploit, io.net GPU Metadata Attack, Pump.fun Exploit, Banana Gun Exploit, DEXX Exploit  
• 2 attaques de la chaîne d’approvisionnement : Parcl Front-End Attack, Web3.js Supply Chain Attack  
• 1 attaque au niveau du réseau : Phantom Wallet DDoS Attack  
• 2 vulnérabilités du protocole central : Solana ELF Address Alignment Vulnerability Incident, Solana JIT Cache Bug Incident

T1 2025 : 2 incidents

• 2 exploitations d’applications : NoOnes Platform Exploit, Loopscale Exploit

Observations

• Les exploitations d’applications sont les plus fréquentes, ce qui reflète les vulnérabilités des applications décentralisées (dApps), des programmes et des portefeuilles. Les pics de 2022 (12 incidents) et de 2024 (6 incidents) coïncident avec la croissance de la DeFi et des NFT.
• Les attaques de la chaîne d’approvisionnement sont apparues en 2024. Elles ont ciblé des dépendances tierces à mesure que l’écosystème de Solana se développait.
• Les attaques au niveau du réseau sont rares, mais provoquent des interruptions importantes. Elles se sont concentrées en 2021 et 2022 lors d’événements à fort trafic, comme les IDO et les émissions de NFT.
• Les vulnérabilités du protocole central, bien que moins nombreuses, présentent des risques systémiques en raison de leur impact sur l’ensemble de la blockchain. Ces incidents se sont produits entre 2020 et 2024.
• La fréquence des incidents a culminé en 2022 (15 incidents), sous l’effet de l’adoption croissante de Solana et de l’élargissement de sa surface d’attaque.

Classification par niveau de gravité

• Gravité élevée (interruptions à l’échelle du réseau, pertes >$10M) : 13 incidents (par exemple, Wormhole Bridge, Mango Markets, DEXX)
• Gravité moyenne (pertes de $1M à $10M) : 12 incidents (par exemple, Crema Finance, Raydium, Pump.fun)
• Faible gravité (pertes <$1M ou aucune perte financière) : 13 incidents (par exemple, SVT Token, ELF Address Alignment, Jito DDoS)

Pertes financières totales et parties affectées

Répartition des pertes

Exploitations d’applications

Pertes brutes : ~$600M

Répartition :

• Wormhole Bridge : $326M (intégralement remboursés)
• Mango Markets : $116M ($49M nets après la restitution de $67M)
• Cashio : $52.8M ($25M nets après la restitution de $27.8M par le pirate)
• DEXX : $30M
• UXD Protocol : $19.9M (récupérés)
• Crema Finance : $8.8M ($1.6M nets après la restitution de $7.2M)
• Slope Mobile Wallet : $8M
• NoOnes Platform : $7.9M-$8M
• Audius : $6.1M
• Loopscale : $5.8M (intégralement récupérés)
• Raydium : $4.4M (environ $0.4M nets après l’atténuation d’environ $4M par l’équipe)
• Nirvana Finance : $3.5M ($1.4M nets après une restitution d’environ $2.1M)
• Pump.fun : $1.9M (atténués)
• Banana Gun : $1.4M (atténués)
• Cypher Protocol : $1.04M (+$317K de vol interne)
• Solend (août 2021) : $16K (atténués)
• Solend (nov. 2022) : $1.26M (atténués)
• OptiFi Lockup Bug : $661K (atténués à 95 % pour l’essentiel)
• Solareum : $520K-$1.4M
• SVT Token : $400K
• Thunder Terminal : $240K
• Aurory : $830K (atténués)
• Synthetify DAO : $230K
• Saga DAO : $60K
• Tulip Protocol : $2.5M (récupérés)

Pertes atténuées : ~$469M

• Wormhole : $326M (Jump Crypto)
• Cashio : $27.8M (restitués)
• Mango Markets : $67M (restitués)
• UXD Protocol : $19.9M (récupérés)
• Crema Finance : $7.2M (restitués)
• Pump.fun : $1.9M (rétablis)
• Banana Gun : $1.4M (remboursés)
• Save (formerly Solend) : $16K + $1.26M (trésorerie)
• OptiFi : ~$628K (fonds de l’équipe à 95 %)
• Tulip Protocol : $2.5M (récupérés)
• Loopscale : $5.8M (récupérés)
• Raydium : ~$4M (équipe)
• Aurory : $830K (trésorerie)
• Nirvana Finance : ~$2.1M (restitution distribuée à 60 %)

Pertes nettes : ~$131M

Parties affectées : les utilisateurs (portefeuilles, fournisseurs de liquidité), les trésoreries des protocoles et les DAO. Les utilisateurs ont supporté la majorité des pertes, même si les protocoles en ont atténué une part importante, comme Wormhole et Pump.fun.

Attaques de la chaîne d’approvisionnement

Pertes brutes : ~$130K

Répartition :

• Web3.js : ~$130K (non confirmés)
• Parcl Front-End : montant non communiqué

Pertes atténuées : ~$0M

Pertes nettes : ~$130K

Parties affectées : les utilisateurs interagissant avec des dApps ou des extensions compromises. Les pertes ont été principalement supportées par les utilisateurs.

Attaques au niveau du réseau

Pertes brutes : $0 (aucun vol direct)

Pertes indirectes : volatilité du cours de SOL (par exemple, baisse de 15 % pendant l’incident Grape Protocol et de 10 % pendant l’incident Candy Machine) et perturbation des transactions.

Parties affectées : l’ensemble de l’écosystème Solana (utilisateurs, dApps et validateurs).

Vulnérabilités du protocole central

Pertes brutes : $0 (aucun vol direct)

Pertes indirectes : baisses du cours de SOL (par exemple, 13,9 % pendant l’incident Durable Nonce Bug et 5 % pendant l’incident Turbine Failure) et perturbations des transactions.

Parties affectées : l’ensemble de l’écosystème Solana.

Pertes totales, toutes catégories confondues

• Pertes brutes : ~$600M
• Pertes atténuées : ~$469M
• Pertes nettes : ~$131M

Pertes indirectes : non quantifiées, mais importantes en raison de la volatilité du cours de SOL et des perturbations des transactions.

Qui a supporté l’impact ?

• Utilisateurs : principales victimes des exploitations d’applications (par exemple, Slope Wallet, DEXX, Solareum) et des attaques de la chaîne d’approvisionnement (par exemple, io.net, Parcl), avec des fonds dérobés dans des portefeuilles ou des pools de liquidité.
• Protocoles/DAO : ont absorbé les pertes dans certains cas (par exemple, les $1.26M de Solend et les indemnisations de Raydium) ou ont cessé leurs activités (par exemple, Cashio et Nirvana).
• Ensemble de l’écosystème : les attaques au niveau du réseau et les vulnérabilités du protocole central ont perturbé les activités de tous les utilisateurs, dApps et validateurs, avec des pertes indirectes liées aux baisses du cours de SOL.
• Mesures d’atténuation : des protocoles comme Wormhole (Jump Crypto), Pump.fun et Banana Gun ont intégralement remboursé les utilisateurs, tandis que d’autres, comme Raydium et OptiFi, les ont partiellement indemnisés à l’aide de leur trésorerie ou des fonds de leur équipe.

Évolution de la réponse de Solana en matière de sécurité

La réponse de Solana en matière de sécurité s’est améliorée au fil du temps, comme en témoignent l’accélération des interventions, le renforcement des stratégies correctives et les améliorations à l’échelle de l’écosystème.

Rapidité de réponse aux incidents

Exploitations d’applications

• Premiers incidents (2022) : les délais de réponse allaient de quelques heures à plusieurs jours. Par exemple, Wormhole a été corrigé en quelques heures et Cashio a cessé ses activités le jour même, mais aucune récupération n’a été possible.
• Incidents ultérieurs (2024–2025) : de quelques minutes à quelques heures. Par exemple, Pump.fun a interrompu les échanges en <1 heure, Banana Gun a arrêté ses bots en quelques minutes et Loopscale a suspendu ses marchés le jour même.
• Tendance : amélioration de la détection grâce à la surveillance en temps réel et aux alertes de la communauté, notamment CertiK et ZachXBT.

Attaques de la chaîne d’approvisionnement

• Réponses rapides grâce à une détection externe. Par exemple, Web3.js a rendu les paquets obsolètes en ~5 heures.
• Tendance : meilleure coordination avec les fournisseurs tiers, notamment Cloudflare et npm.

Attaques au niveau du réseau

• Premiers incidents (2021–2022) : longues interruptions (17 heures pour Grape Protocol et 7 heures pour Candy Machine) dues aux difficultés de coordination des validateurs.
• Incidents ultérieurs (2023–2024) : atténués en quelques minutes (Jito) ou quelques heures (Phantom) grâce à de meilleures mesures anti-DDoS. Aucune interruption.
• Tendance : résilience accrue de l’infrastructure.

Vulnérabilités du protocole central

• Premiers incidents (2020–2022) : les interruptions ont duré entre 4,5 et 9 heures, notamment pour Turbine Bug et Durable Nonce Bug.
• Incidents ultérieurs (2024) : rétablissement en 5 heures pour JIT Cache Bug et correctif préventif pour ELF Address Alignment, sans interruption.
• Tendance : déploiement plus rapide des correctifs et protocoles de divulgation privée.

Stratégies correctives

Exploitations d’applications

• Au début : mesures correctives limitées, certains protocoles ayant cessé leurs activités, comme Cashio et Nirvana.
• Par la suite : correctifs robustes, comme la validation des signatures de Wormhole et la mise à niveau multisig de Raydium, ainsi que des plans d’indemnisation, notamment chez Pump.fun et Banana Gun.
• Tendance : attention accrue portée aux audits, à la sécurité des oracles et aux contrôles des accès privilégiés.

Attaques de la chaîne d’approvisionnement

• Mise en place de la 2FA pour les comptes tiers (par exemple, .web3.js) et de la surveillance des paquets (Web3.js).
• Tendance : priorité accrue à la sécurisation des dépendances externes.

Attaques au niveau du réseau

• Mesures anti-bots, comme la pénalité de Metaplex contre les bots, et protections anti-DDoS, notamment chez Jito et phantom.
• Tendance : renforcement proactif de l’infrastructure.

Vulnérabilités du protocole central

• Correctifs pour des bugs spécifiques, comme la déduplication de Turbine et la correction du cache JIT, ainsi que mises à niveau à long terme, notamment l’adoption de QUIC.
• Tendance : cycles de correction plus rapides et meilleure coordination de l’écosystème.

Améliorations à l’échelle de l’écosystème

• Audits : obligatoires depuis 2022. L’effondrement de Cashio, qui n’avait pas fait l’objet d’un audit, a notamment mis les risques en évidence.
• Primes aux bugs : proposées lors de plusieurs incidents, notamment les $10M de Wormhole et la prime de 10 % de Raydium, avec le versement notable de $1.6M par Crema.
• Vigilance de la communauté : des sociétés de sécurité comme CertiK et SlowMist ainsi que des particuliers comme ZachXBT ont amélioré la détection.
• Coordination des validateurs : améliorée pour les incidents touchant le protocole central, ce qui a réduit les délais de redémarrage, par exemple 5 heures pour JIT Cache Bug contre 9 heures pour Turbine Bug.
• Sécurité des tiers : renforcée après les attaques de la chaîne d’approvisionnement de 2024, notamment chez Cloudflare et npm.

Conclusion

L’historique de Solana en matière de sécurité reflète les défis d’une blockchain à haut débit dotée d’un écosystème en pleine croissance. Les exploitations d’applications prédominent en raison des vulnérabilités des dApps, tandis que les attaques de la chaîne d’approvisionnement et les vulnérabilités du protocole central mettent en évidence des risques émergents et systémiques. Les pertes financières brutes atteignent environ ~$600M, dont ~$469M ont été atténués grâce à des remboursements, des récupérations et des interventions des protocoles. Les pertes nettes s’élèvent donc à ~$131M et ont principalement été supportées par les utilisateurs. La réponse de Solana en matière de sécurité a évolué, avec des interventions plus rapides, des mesures correctives robustes et des améliorations à l’échelle de l’écosystème, notamment des audits rigoureux et des primes. Combler les lacunes persistantes dans la conception des programmes, la sécurité des oracles et les dépendances tierces grâce à des audits plus stricts, des oracles décentralisés et au renforcement de l’infrastructure améliorera la résilience de Solana et soutiendra son objectif d’innovation blockchain évolutive et sécurisée.