Autheo THEO : frappe cross-chain non adossée

Le 12 octobre 2026, Autheo, le projet derrière le jeton utilitaire THEO, a été frappé par un présumé exploit de pont sur Base qui a permis à un attaquant de frapper des jetons non adossés et de les écouler pour environ 1,76 million de dollars en ETH, faisant plonger THEO d'environ 92 % en une journée.

Ce qui s'est passé

THEO est émis sur Base en tant que jeton cross-chain HypERC20, ce qui signifie que son offre sur Base est censée être adossée un pour un à des jetons verrouillés sur la chaîne d'origine et libérée seulement à l'arrivée d'un message cross-chain validé. Selon le moniteur on-chain Defimon Alerts, l'attaquant a plutôt réalisé une « frappe cross-chain non adossée » : BaseScan a enregistré la frappe de 19 millions de THEO à 13 h 06 ET via un appel à la fonction process de la boîte aux lettres cross-chain du jeton, sans verrouillage correspondant sur la chaîne d'origine.

Defimon a identifié le module de sécurité de la route comme étant TrustedRelayerIsm, une configuration qui accepte un message comme valide dès qu'il est approuvé par un unique relayeur de confiance plutôt que par un quorum de validateurs. Les informations indiquent que l'attaquant a pu faire passer le message de frappe par cette voie de confiance à relayeur unique, bien qu'Autheo n'ait pas confirmé comment exactement la frappe a été autorisée. L'attaquant a ensuite déversé l'offre fraîchement frappée dans le pool peu profond Hydrex Integral THEO/USDC sur Base — environ 9,5 millions de THEO ont été vendus en une seule transaction pour près de 189 ETH — et, selon PeckShield, les gains totalisant environ 700,8 ETH (~1,76 million de dollars) ont été transférés de Base vers le réseau principal Ethereum. THEO est passé d'environ 0,08 dollar à près de 0,006 dollar, une baisse d'environ 92,4 %.

Conséquences

Autheo a reconnu l'incident le jour même et a dit aux détenteurs : « N'achetez, ne vendez ni ne transférez THEO » jusqu'à un feu vert officiel, mettant en garde contre les liens suspects, les offres de récupération non sollicitées et le partage de phrases de récupération. La plateforme MEXC a suspendu les transferts de THEO le 13 octobre pendant que les enquêtes se poursuivaient. Au moment de la rédaction, aucun fonds n'avait été récupéré, aucun attaquant n'avait été identifié, et les chiffres restaient des estimations on-chain provisoires ; un chercheur a avancé une frappe bien plus importante, d'environ 119 millions de THEO, mais le chiffre de 19 millions est celui que partagent la plupart des sources.

Pourquoi c'est important

L'incident est un échec d'école d'une conception cross-chain à relayeur unique de confiance : lorsqu'un pont frappe de l'offre encapsulée sur la parole d'un seul approbateur, compromettre ou abuser de cette unique voie produit des jetons sans rien derrière eux. Il fait écho au pont de Qubit Finance, où une faille de validation des dépôts a permis de frapper des garanties non adossées, et à l'exploit Wormhole, où le contournement de la vérification des signatures a frappé 120 000 wETH non adossés. La faiblesse de la racine de confiance rappelle aussi Nomad, dont la vérification des messages défaillante transformait tout appel copié en retrait valide. Comme pour la frappe de Gala Games, le dommage n'est pas venu de dépôts volés mais d'une offre contrefaite vendue dans une liquidité réduite avant que le marché ne puisse réagir.