UNCX Vesting V2 : exploit comptable

Le 14 octobre 2026, UNCX Network, un fournisseur d'infrastructure de verrouillage et de vesting de tokens, a vu ses contrats partagés Vesting V2 vidés de tokens verrouillés sur quatre chaînes pour environ 1,5 million de dollars. La perte a commencé par un siphonnage de 86 000 dollars sur Ethereum et a été multipliée par environ 17 à mesure que des portefeuilles imitateurs et des bots MEV exploitaient la même faille.

Ce qui s'est passé

Le Vesting V2 d'UNCX permet aux projets de verrouiller des tokens dans un contrat partagé VestingManager qui les libère aux bénéficiaires au fil du temps. Selon la société de sécurité Blockaid, qui a détecté une activité pré-exploit environ une heure avant le premier siphonnage, et ExVul, qui a disséqué la première transaction sur Ethereum, l'exploit était une divergence comptable dans ce contrat partagé — et non une clé privée compromise.

La faille tenait à la manière dont le gestionnaire suivait les parts de vesting entre les libérations et les annulations :

1. La fonction release() réduisait le total global des parts mais ne retirait pas les parts libérées du dépôt enregistré d'une position.
2. Une annulation ultérieure de cette position déduisait alors les mêmes parts une seconde fois, corrompant la comptabilité du pool partagé.
3. L'attaquant a enchaîné ces étapes — créer des positions, en libérer une grande, redonner des tokens et annuler une position abondée — pour laisser une position résiduelle minuscule capable de retirer des tokens que d'autres utilisateurs avaient déposés dans le pool partagé.

Blockaid a chiffré le préjudice à environ 1,49 million de dollars sur 11 transactions de siphonnage : environ 969 000 dollars sur BNB Smart Chain, 242 000 dollars sur Ethereum, 169 000 dollars sur Robinhood Chain et 114 000 dollars sur Base. Dix tokens sur quatre chaînes ont été touchés ; UNCX a déclaré que ses verrous de liquidité et le contrat de vesting hérité étaient restés intacts.

Conséquences

UNCX a divulgué l'incident le jour même, le qualifiant d'« isolé aux contrats Vesting V2 », et a agi pour endiguer de nouveaux siphonnages : la plateforme a porté les frais forfaitaires sur les nouveaux verrouillages à plus de 1 000 ETH, supprimé les interfaces qui permettaient aux utilisateurs de contourner les frais et fixé les frais de token au maximum de 5 % prévu par le contrat. L'équipe a indiqué coopérer avec les forces de l'ordre et SEAL 911, être en contact avec la plupart des projets concernés, et publier un rapport d'incident complet ainsi qu'un plan de récupération proposé dans la semaine. Ni l'attaquant d'origine ni les adresses imitatrices n'avaient restitué de fonds, et aucune identité d'attaquant n'était publique au moment de la rédaction.

Pourquoi c'est important

Le siphonnage d'UNCX est un cas d'école de faille comptable dans un pool partagé : une seule grandeur mal suivie — ici, les parts de vesting libérées par rapport à celles déposées — a permis à une position de retirer des actifs qui garantissaient tous les autres. Il relève de la même famille que l'exploit d'arrondi du Cauldron d'Abracadabra, où une comptabilité de dette qui diminuait trop peu un total partagé a gonflé la capacité d'un acteur aux dépens du pool, et fait écho à la leçon plus large des échecs de garde-par-contrat comme le siphonnage du coffre wstETH sur Base : lorsque les fonds de nombreux utilisateurs partagent une même structure comptable, chaque chemin arithmétique qui touche cette structure est critique pour la solvabilité. L'afflux rapide d'imitateurs et de bots MEV — qui a transformé une preuve de concept de 86 000 dollars en une perte à sept chiffres en quelques heures — est désormais une caractéristique courante des exploits dans le mempool public, et une raison pour laquelle la rapidité de divulgation et d'atténuation compte autant que le correctif initial.