Drainage du trésor Step Finance

Le 31 janvier 2026, le tracker de portefeuille DeFi Solana Step Finance a perdu 261 854 SOL — environ 27 millions de dollars à l'époque — lorsqu'un « acteur sophistiqué » a compromis plusieurs portefeuilles de trésor et de frais. Le jeton STEP a chuté de 96 %. Trois semaines plus tard, Step Finance a annoncé l'arrêt permanent de ses opérations, ainsi que de ses projets affiliés SolanaFloor (un média Solana) et Remora Markets (une plateforme de tokenisation).

Ce qui s'est passé

Step Finance — fondée en 2021 — était l'un des produits DeFi Solana les plus anciens. La plateforme agrégeait les positions de yield-farm, jetons LP et positions DeFi à travers presque tous les protocoles Solana dans un tableau de bord unique. Sur ses 4 ans d'histoire, elle avait accumulé un trésor significatif issu des revenus de frais et opérations sur jetons.

La brèche visait spécifiquement les portefeuilles de trésor et de frais — pas la custody côté utilisateur (Step Finance était un tracker de portefeuille, pas un custodian, donc les fonds utilisateurs étaient largement détenus dans leurs propres portefeuilles). L'attaquant a compromis plusieurs adresses de portefeuille et drainé leurs avoirs SOL dans un balayage coordonné totalisant 261 854 SOL (~27 M$).

Step Finance a décrit la compromission comme l'œuvre d'un « acteur sophistiqué » mais n'a pas détaillé publiquement le vecteur technique. Le pattern on-chain était cohérent avec une extraction de clé privée depuis l'infrastructure de signature de l'équipe plutôt qu'une exploitation de contrat intelligent.

Conséquences

• Le jeton STEP a immédiatement chuté de ~96 % alors que le marché intégrait la diminution de la runway du protocole et son avenir incertain.
• Step Finance a annoncé avoir « exploré chaque chemin possible, y compris des opportunités de financement et d'acquisition » mais n'a pu sécuriser de résultat viable.
• Le 24 février 2026 — trois semaines après le hack — Step Finance a annoncé l'arrêt permanent des opérations.
• SolanaFloor (le média affilié) et Remora Markets (plateforme de tokenisation) ont également fermé en même temps, car les deux dépendaient de l'organisation mère de Step Finance.
• Le jeton STEP a chuté de 36 % supplémentaires à l'annonce de la fermeture.
• Aucune récupération publique depuis les portefeuilles de l'attaquant.

Pourquoi c'est important

La fermeture de Step Finance est un cas frappant de 2026 pour comment un hack de trésor sur un produit DeFi non-custodial peut tout de même tuer le protocole. Step Finance n'a pas perdu de fonds utilisateurs au sens typique — les actifs des utilisateurs étaient dans leurs propres portefeuilles — mais le projet lui-même a perdu le capital d'exploitation et la runway qui finançaient le développement et les opérations en cours.

Les leçons structurelles :

1. La custody du trésor pour les protocoles DeFi exige la même rigueur de sécurité que la custody côté utilisateur. Le cadrage « nous sommes décentralisés, les utilisateurs détiennent leurs propres fonds » s'effondre lorsque c'est le capital d'exploitation de l'équipe elle-même qui est drainé.

2. Les protocoles à longue durée accumulent une valeur de trésor significative qui accroît leur attractivité comme cibles au fil du temps. Les 4+ ans d'opérations de Step Finance signifiaient que leur trésor détenait substantiellement plus que celui d'un protocole plus récent — et la même sécurité opérationnelle lâche, tolérable à 1 M$ de trésor, devient catastrophique à 27 M$.

3. Les écosystèmes de projets affiliés partagent le risque opérationnel de l'organisation mère. SolanaFloor et Remora Markets n'étaient pas directement affectés par la brèche du trésor de Step Finance, mais ils dépendaient du même parent pour la runway — et ont coulé avec lui.

La fermeture de Step Finance est l'un de plusieurs événements « arrêt opérationnel après hack du trésor » en 2026. Le pattern — compromission sophistiquée de clé → perte trop grande pour être absorbée par la runway restante → liquidation ordonnée plutôt que continuation en opération partielle — est devenu le résultat standard pour les produits DeFi non-custodial dont le capital opérationnel dépend d'un trésor stable contrôlé par l'équipe.