Exploit de frappe de parts dans les coffres d'ACryptoS via depositMulti

Le 8 novembre 2026, ACryptoS, un agrégateur de rendement DeFi multichaîne, a été siphonné d'environ 665 000 $ lorsqu'un attaquant a exploité l'absence d'une vérification d'entrée dans la logique de dépôt de ses coffres, pillant 77 des 126 coffres sur cinq réseaux.

Ce qui s'est passé

La faille se trouvait dans depositMulti(uint256[] amounts, uint256 minShares), qui ne vérifiait jamais que la longueur du tableau amounts correspondait au nombre de jetons du coffre. Passer un tableau à un seul élément à un coffre à liquidité concentrée de deux jetons faisait valoriser le dépôt uniquement via token0 en ignorant les avoirs en token1 : un dépôt minuscule frappait alors l'essentiel des parts du coffre. withdrawMulti rachetait ensuite ces parts contre les deux actifs sous-jacents, extrayant la mauvaise valorisation. Sur un fork Polygon, un dépôt de 10 USDC avec un tableau à un élément a frappé 66,84 % de l'offre de parts, contre environ 0,01 % avec un tableau correctement dimensionné. La campagne s'est déroulée de 02:02 à 16:22 UTC sur Arbitrum (~230 000 $), BNB Chain (~191 000 $), Polygon (~135 000 $), Base (~70 000 $) et Optimism (~40 000 $) ; les coffres Linea sont restés intacts. Les enquêteurs de SlowMist ont dénombré 135 adresses d'attaquants et environ 1 000 dépôts d'exploitation.

Conséquences

ACryptoS a désactivé les dépôts sur tous les coffres avant 16:40 UTC — fermant la première chaîne dans les 80 minutes suivant la prise de contact avec le développeur et toutes les chaînes en environ 2,5 heures via des mises à niveau de beacon par coffre — tout en laissant les retraits ouverts. L'équipe a annoncé qu'elle abandonnerait le protocole sans relance prévue, exhortant les utilisateurs à retirer les fonds restants. L'essentiel du butin a été échangé contre de l'ETH, du WETH ou du WBNB puis acheminé via des ponts, ne laissant que moins de 1 000 $ en stablecoins gelables ; le projet a brûlé les parts d'un attaquant dans un coffre Base afin de préserver environ 6 187 USDbC pour les déposants. Une prime white-hat de 10 % évoquée n'a pu être confirmée dans les propres communications du projet, et aucun fonds n'a été restitué.

Pourquoi c'est important

ACryptoS est un cas d'école de bug de comptabilité des parts : à l'instar des attaques classiques de premier dépôt et d'inflation d'ERC-4626, il a transformé la propre arithmétique de frappe de parts d'un coffre en un drain, sans oracle de prix ni prêt flash. L'omission d'une seule ligne — ne jamais vérifier la longueur du tableau face au nombre de jetons — illustre comment de petites lacunes de validation d'entrée continuent de produire des pertes démesurées dans la DeFi, en écho à d'autres défaillances récentes de contrats intelligents comme TENDRIL et UNCX Network. Il souligne aussi que c'est l'ampleur, et non la profondeur, qui définit le risque multichaîne : une seule faille de contrat partagée a permis à un unique bug de se propager en cascade sur cinq réseaux et 77 coffres à la fois, et un protocole sous-financé, maintenu par des bénévoles, n'a guère eu d'autre choix que de se liquider plutôt que d'indemniser les utilisateurs.