Vol de récompenses AlpsCon via une clé de test en liste blanche

Le 18 octobre 2026, le pool de récompenses d'AlpsCon AI Trade Hub, une plateforme de staking et de récompenses sur BNB Chain, a été vidé d'environ 152 000 $ après qu'un attaquant a combiné une liste blanche de staking contenant encore une clé de test publiquement connue avec une faille dans la manière dont le nouveau contrat de récompenses du projet comptabilisait les dépôts antérieurs.

Ce qui s'est passé

La liste blanche d'AlpsCon pour le staking et la réclamation des récompenses incluait encore le compte de test #0 par défaut de Hardhat/Anvil (0xf39f…2266), dont la clé privée est publiée dans la documentation pour développeurs et connue de tous. Les relevés on-chain montrent que l'adresse a été ajoutée lors d'un enregistrement par lots le 24 août 2025 et laissée en place pendant environ 14 mois. La clé étant publique, l'attaquant pouvait agir à volonté comme un portefeuille inscrit sur la liste blanche.

Le second ingrédient était un bug de comptabilité. Le nouveau contrat de récompenses d'AlpsCon traitait un dépôt effectué quelques instants plus tôt dans l'ancien contrat du hub comme s'il avait existé depuis le début, puis versait intégralement les récompenses « passées » correspondantes. L'attaquant a enchaîné les deux failles :

1. A utilisé la clé de test publique pour signer une délégation EIP-7702, permettant au code d'attaque de s'exécuter comme le portefeuille de la liste blanche.
2. A contracté un prêt flash d'environ 1,03 million d'USDC et acheté des jetons ALPS.
3. A staké les ALPS dans l'ancien contrat du hub, qui acceptait encore les dépôts.
4. Le nouveau contrat de récompenses a versé environ 355 000 USDC, vidant le pool de récompenses principal.
5. A désactivé le staking, vendu les ALPS, remboursé le prêt flash et est reparti avec environ 152 000 $.

Conséquences

L'ensemble de l'attaque s'est déroulé au sein d'une seule transaction (0x824b…5fc2). Le déployeur a retiré le compte de test de la liste blanche à 11 h 40 UTC le 18 octobre 2026, environ cinq heures après l'attaque, mais le pool de récompenses était alors déjà vide. Au moment des premières analyses publiques — signalées on-chain par Defimon et documentées dans un compte rendu communautaire — AlpsCon n'avait publié aucune déclaration officielle ni annoncé de récupération de fonds. Aucune identité d'attaquant n'a été établie ; le butin est resté dans des portefeuilles contrôlés par l'attaquant.

Pourquoi c'est important

AlpsCon rappelle que les éléments de test laissés en production sont des clés vivantes, pas des marque-places. Le compte par défaut de Hardhat est l'une des clés privées les plus connues du développement sur Ethereum, et sa présence sur une liste blanche de récompenses a transformé une commodité en porte ouverte. L'incident montre aussi comment un raccourci comptable d'apparence anodine — créditer un dépôt récent de récompenses historiques — devient catastrophique dès qu'un attaquant peut satisfaire gratuitement le contrôle d'accès, ici via une délégation EIP-7702 financée par un prêt flash. Il s'ajoute à une série de pertes sur BNB Chain en octobre 2026 comme 79th Vault, et fait écho aux erreurs de comptabilisation des récompenses et des parts observées dans des exploits de contrats intelligents comme UNCX Network : quand les calculs qui émettent des récompenses peuvent être manipulés, aucun contrôle d'accès nominal ne protège si le contrôle lui-même est mal configuré.