Exploit par permissions obsolètes du vault xWBTC de Troves

Le 31 octobre 2026, Troves — une plateforme de stratégies de rendement sur Starknet — a signalé que son vault xWBTC/WBTC avait été attaqué, pour une perte préliminaire d'environ 8,6 BTC, soit près de 0,7 million de dollars. La cause profonde était un contrat de rééquilibrage hérité qui avait déjà été remplacé mais conservait encore des permissions actives sur le vault.

Ce qui s'est passé

Troves exploite des « vaults » de stratégie tokenisés qui rééquilibrent automatiquement les actifs déposés ; un contrat de rééquilibrage dédié détient les privilèges nécessaires pour déplacer des fonds entre positions pour le compte du protocole. Selon Troves, lors de la mise à niveau de ce rééquilibreur, le contrat obsolète ne s'est jamais vu retirer ses permissions sur le vault xWBTC/WBTC. L'attaquant a détourné ces privilèges résiduels et trop larges pour invoquer le contrat obsolète et siphonner environ 8,6 BTC de bitcoin wrappé du vault. La faille était donc un bug de contrôle d'accès / d'autorisation obsolète, et non une compromission de clé ni un exploit de prix : la logique du vault elle-même était saine, mais un composant mis hors service conservait le pouvoir de déplacer les fonds des utilisateurs. Troves a déclaré avoir détecté l'activité et, en environ 40 minutes, révoqué le contrat problématique et retiré toutes les permissions de rééquilibrage de ses vaults de jetons de staking liquide.

Conséquences

Par précaution, Troves a mis en pause trois vaults — xWBTC/WBTC, xSTRK/STRK et xstrkBTC/strkBTC — et a indiqué que ses autres vaults ne montraient aucun impact. L'équipe a envoyé à l'attaquant un message on-chain offrant une prime white-hat de 1 WBTC en échange de la restitution des fonds restants, et a précisé que des partenaires de sécurité traçaient les actifs volés. Troves a annoncé la publication d'un post-mortem et l'exposé d'options pour les déposants affectés une fois ses conclusions vérifiées. Au moment de la publication, aucun fonds n'avait été restitué, aucune identité d'attaquant ni hash de transaction n'avait été publié, et le chiffre de 8,6 BTC restait une estimation préliminaire susceptible d'être révisée.

Pourquoi c'est important

L'incident est un cas d'école de défaillance par permissions obsolètes : une mise à niveau a déployé un nouveau composant mais a laissé l'ancien avec des privilèges actifs, transformant un contrat retiré en porte ouverte. Il fait écho à d'autres pertes DeFi sur Starknet telles que zkLend et Nostra, et renforce une leçon plus large du catalogue — à savoir que la révocation des privilèges est aussi importante que la justesse du code. Des audits rigoureux de la mathématique du vault ne servent à rien si une adresse retirée conserve le pouvoir de déplacer des fonds ; toute mise à niveau qui remplace un contrat privilégié doit explicitement révoquer l'accès de son prédécesseur dans le cadre de la même migration. La rapidité de la réaction de Troves — révoquer les permissions en une quarantaine de minutes — a probablement limité les dégâts bien en deçà de ce qu'une réaction plus lente aurait permis.