Drainage des réserves via le sell-hook de TENDRIL

Le 5 novembre 2026, le pool de liquidité du token TENDRIL sur BNB Chain a été exploité pour environ 555 000 dollars en USDT. Une faille dans le sell-hook personnalisé du token a permis à un attaquant de manipuler la comptabilité des réserves du pool et de retirer la quasi-totalité du stablecoin apparié. Les services de sécurité ExVul et ScaleBit ont signalé l'attaque le jour même, publiant le contrat vulnérable, l'adresse de la paire et les transactions de l'attaquant.

Ce qui s'est passé

TENDRIL s'échangeait contre l'USDT dans un pool PancakeSwap V2. Le token intégrait une logique personnalisée exécutée à chaque vente via un chemin PoolControl.sellToken, combinée à une opération de burn contrôlé. En brûlant des tokens de la paire d'échange, l'attaquant pouvait réduire le solde en TENDRIL de la paire et forcer un sync des réserves avant que le reste de l'entrée de vente ne soit réglé. Les réserves désynchronisées, TENDRIL se trouvait momentanément valorisé bien plus haut face à l'USDT, et l'entrée différée retirait alors presque tout l'USDT du pool. Durant l'exploit, l'attaquant a également acheminé un montant fixe de 30 000 USDT vers une adresse bénéficiaire codée en dur dans le contrat. Les premières estimations allaient d'environ 309 000 dollars (TenArmor) à quelque 550 000–555 000 dollars une fois les pertes nettes comptabilisées.

Conséquences

Aucun fonds n'avait été récupéré au moment de la rédaction, et l'équipe n'a publié aucune déclaration de remédiation. L'USDT de l'attaquant a été retiré du pool et déplacé on-chain.

Pourquoi c'est important

TENDRIL est le dernier cas d'une série régulière de drainages par logique de token personnalisée sur PancakeSwap, où un hook propre de transfert, de taxe ou de burn permet à un attaquant de désynchroniser les réserves du pool et d'en siphonner le côté stablecoin. Sa forme est presque identique à celle de DIP Token — là, un return manquant a permis à l'attaquant de vider un pool PancakeSwap par skim/sync — et au drainage par skim de réserves de NemTokenV2 quelques semaines plus tôt, tous deux sur BNB Chain. La leçon de fond remonte à Spartan Protocol : tout token qui manipule ses propres soldes autour du sync d'un AMM invite à l'abus de la comptabilité des réserves. Les sell-hooks non audités restent une surface d'attaque active, et les pertes inférieures à 1 million de dollars qu'ils produisent reviennent rarement.