Exploit par pools vides des vaults d'options de Premia

Le 1er novembre 2026, six vaults d'options de Premia — un protocole d'options décentralisé sur Arbitrum — ont été siphonnés pour environ 0,46 million de dollars après qu'un attaquant a exploité la manière dont ces vaults acheminaient le collatéral vers des pools d'options nouvellement créés et vides. Aucun oracle de prix n'a été manipulé et aucune clé n'a été volée ; la perte provient d'une faille de limite de confiance dans le smart contract, les flash loans ne servant que de capital de travail.

Ce qui s'est passé

Premia permet à quiconque de déployer un pool d'options via sa factory, et les vaults traitaient apparemment tout pool créé par la factory comme un marché légitime. En deux transactions minées à environ une seconde d'intervalle vers 03:15 UTC, l'attaquant a créé six pools d'options vides (tous expirant le 6 novembre 2026), contracté des flash loans auprès de Balancer comme capital de travail et acheté des options de sorte que le collatéral des vaults soit déplacé vers ces pools contrôlés par l'attaquant. Le collatéral a ensuite pu être retiré vers le contrat de l'attaquant comme s'il s'agissait de sa propre liquidité, les flash loans étant remboursés au sein des mêmes transactions. Les estimations de la perte variaient selon la source : PeckShield l'évaluait à environ 464 600 dollars (environ 131 ETH), une analyse on-chain indépendante citée par The Defiant chiffrait les pertes nettes de collatéral à près de 437 000 dollars, et le comptage précoce de Blockaid pendant l'attaque en cours était d'environ 400 500 dollars — ces écarts reflètent des évaluations distinctes et non des vols supplémentaires. Les actifs siphonnés totalisaient environ 3,64 WBTC, 43,47 WETH, 48 479 USDC.e et 46 215 ARB à travers les vaults call et put de WBTC, WETH et ARB.

Conséquences

L'attaquant a transféré les actifs volés d'Arbitrum vers Ethereum via un pont, puis les a échangés en Bitcoin via Chainflip et NEAR Intents, selon PeckShield ; les transferts rapportés n'indiquaient pas que l'un ou l'autre service ait sciemment aidé. L'empreinte on-chain était publique : les analystes ont attribué les siphonnages à l'adresse attaquante 0xbeBa…4dBd opérant via le contrat d'attaque 0x5771…785f, les deux transactions de drainage étant minées à une seconde d'intervalle. Au moment de la première couverture, Premia Labs n'avait pas publié de post-mortem détaillé, ni nommé de cause racine confirmée, ni annoncé de plan de remboursement pour les déposants affectés.

Pourquoi c'est important

La perte de Premia rappelle que la composabilité sans permission est elle-même une surface d'attaque : un vault qui fait confiance à tout pool créé par la factory comme à un marché valide peut être amené à envoyer son collatéral vers le marché vide d'un attaquant. L'exploit n'a eu besoin ni d'oracle ni de clé volée — seulement d'une faille logique et d'un flash loan comme capital de travail, le même schéma de capital bon marché observé chez Balancer V2 et Abracadabra. Il souligne aussi la rapidité avec laquelle les fonds DeFi volés traversent désormais chaînes et classes d'actifs : au cours de la même session, le butin a été ponté vers Ethereum et converti en Bitcoin via des services de swap inter-chaînes, réduisant la fenêtre pour les gels d'émetteurs ou les récupérations.