2023L'année en brèches

~220 K$ drainés de HYPR Network après qu'une faille bridge/contrat a permis l'extraction de liquidité bridgée — petit échec de pont propre.

Levana Protocol sur Osmosis a perdu ~1,15 M$ : les attaquants ont induit la congestion pour faire lagger les flux de prix puis tradé aux moments mal tarifés.

OKX DEX a perdu 2,7 M$ d'utilisateurs : une clé proxy-admin dépréciée compromise a mis à niveau le contrat vers une version balayant les approbations.

Une compromission opérateur a drainé 87 M$ du pont HECO plus 12 M$ des hot wallets HTX, frappant les deux plateformes de Justin Sun en 24 h.

54,7 M$ drainés de KyberSwap Elastic après qu'une erreur d'arrondi en liquidité concentrée a trompé les pools en reconnaissant le double de liquidité.

26 M$ drainés du market maker Kronos Research à Taipei après vol de clés API contrôlant les retraits programmatiques ; WOO a stoppé le trading.

Plus de 114 M$ balayés des hot wallets Ethereum et Tron de Poloniex après extraction des clés privées ; Justin Sun a promis le remboursement complet.

3,3 M$ du stablecoin R créés via un bug d'arrondi/mint de parts dans Raft, mais l'attaquant a raté l'encaissement, brûlant ~1 570 ETH. R s'est dépeggé.

640 K$ drainés aux utilisateurs Unibot via un bug d'approbation dans le nouveau contrat routeur du bot Telegram. Unibot a remboursé les utilisateurs affectés.

~2,2 M$ drainés de Platypus Finance dans une grappe d'exploits d'octobre frappant le stableswap Avalanche via une logique de solvabilité/retrait défaillante.

2,9 M$ drainés de Stars Arena, une app SocialFi style friend.tech sur Avalanche, via une faille de logique prix-de-part/retrait, au pic du buzz SocialFi.

200 M$ drainés des hot wallets de Mixin Network après compromission du fournisseur cloud hébergeant la base centralisée — un réveil sur l'infrastructure.

2,7 M$ drainés des hot wallets de l'échange P2P Remitano en USDT, ANK, USDC et ETH via compromission de clé privée ; TTPs cohérents avec Lazarus.

Lazarus a drainé 54 M$ des hot wallets CoinEx sur Ethereum, Tron, BSC et 7 autres chaînes, réutilisant l'infrastructure du hack Stake.com précédent.

Stake.com a perdu 41 M$ de ses hot wallets sur Ethereum, BSC et Polygon en 90 min ; le FBI a formellement attribué le vol à Lazarus et listé 40 adresses.

Un attaquant a exploité une réentrance en lecture seule sur les rate providers des Boosted Pools Balancer après divulgation, drainant ~2,1 M$.

L'attaquant a passé un faux marché et un permit forgé au DebtManager d'Exactly sur Optimism ; leverage() ne validait rien, drainant 7,3 M$ sur 117 comptes.

~1,3 M$ en péril sur Swerve Finance abandonné, fork Curve dormant dont la gouvernance peu active a laissé passer une proposition saisissant les fonds.

~2,6 M$ d'ETH bloqués ou en péril sur le pont Shibarium au lancement, après un contrat mal configuré et une surcharge de trafic rendant les fonds inaccessibles.

869 K$ drainés de RocketSwap sur Base : une brèche serveur a livré les clés privées chiffrées et la logique de déchiffrement du script d'automatisation.

2,1 M$ drainés de Zunami Protocol après que ses prix zETH et UZD, dérivés de pools Curve manipulables, ont été gonflés par un attaquant flash-loan.

1,14 M$ drainés de Steadefi sur Arbitrum et Avalanche après compromission de la clé deployer, permettant à l'attaquant de saisir les coffres à effet de levier.

Le développeur du memecoin BALD a retiré la liquidité du testnet Base de Coinbase, empochant 5,9 M$ de profit dev contre 23 M$ de pertes investisseurs.

Un verrou de réentrance défectueux dans trois versions du compilateur Vyper a exposé plusieurs stablepools Curve à une attaque de réentrance classique.

Une fonction withdrawFunds cachée réservée au deployer dans le contrat de staking BNB Chain de DeFiLabs a drainé 1,6 M$ avant la disparition du projet.

EraLend sur zkSync Era a perdu 3,4 M$ via une réentrance en lecture seule : l'attaquant a manipulé le prix oracle USDC pendant un callback SyncSwap.

Une compromission de clé privée a drainé 60 M$ des hot wallets d'AlphaPo sur Tron, Bitcoin et Ethereum. Le FBI a attribué la brèche au groupe Lazarus.

L'Omnipool ETH de Conic avait des gardes mais supposait que Curve v2 utilisait une adresse ETH spécifique. Un CurveLPOracleV2 l'a contourné, drainant 3,2 M$.

125 M$ drainés du pont Multichain un mois après l'arrestation du PDG Zhaojun ; l'équipe avait perdu l'accès MPC et les preuves pointaient un coup interne.

Kannagi Finance, ferme zkSync Era, a rug-pull 2,1 M$ après remplacement de son contrat de staking upgradeable closed-source par une version malveillante.

Une proposition de gouvernance discrète sur BNB Chain a accordé aux attaquants l'approbation sur chaque wallet d'Atlantis Loans, drainant 2,5 M$.

800 K$ drainés de Sturdy Finance via une réentrance lecture-seule Balancer qui a mal valorisé la collatéral LP B-stETH-STABLE. Fonds rendus après négociation.

Une opération Lazarus a ciblé le logiciel Atomic Wallet, drainant 100 M$+ d'environ 5 500 utilisateurs et contournant les garanties de self-custody.

7,5 M$ extraits de Jimbo's Protocol sur Arbitrum : un échec de slippage dans JimboController.shift() a permis un drainage par prêt flash.

La DAO Tornado Cash détournée : l'attaquant a selfdestruct une proposition adoptée et redéployé du code malveillant à la même adresse, saisissant 1,2M votes.

3 M$ rug-pullés de Swaprum sur Arbitrum, un fork d'Arbiswap dont les contrats audités cachaient un proxy upgradeable avec une fonction backdoor add().

Le troisième incident de DEUS DAO a drainé 6,5 M$ sur BNB, Arbitrum et Ethereum via une faille dans la logique burnFrom/approval de DEI.

Level Finance sur BNB Chain a perdu 1,1 M$ : LevelReferralControllerV2 payait sans marquer l'epoch claimed, permettant des claims répétés.

Merlin DEX sur zkSync a perdu 1,82 M$ après son lancement quand un rôle propriétaire backdoor a permis aux initiés de retirer la liquidité.

Hundred Finance sur Optimism a perdu 7 M$ : un bug de précision dans le fork Compound v2 a permis à un minuscule hWBTC de drainer le pool.

Une seule compromission de clé de signature a balayé 23 M$ en ETH, QNT, GALA, SHIB, HOT et MATIC du hot wallet de Bitrue, sous les 5 % des soldes.

Un contrat iEarn Yearn legacy mal configuré pointant vers le mauvais jeton Fulcrum a minté 1,2Q yUSDT et drainé 11 M$ d'Aave v1 sans alerter personne.

Un contrôle d'accès manquant dans RouteProcessor2 de Sushi a laissé les bots drainer 3,3 M$ en WETH aux utilisateurs avec approbations, avant le sauvetage.

SafeMoon a perdu 8,9 M$ de son pool WBNB après qu'une mise à niveau a laissé burn() public, permettant de brûler les SFM des autres et drainer WBNB.

Kokomo Finance, fork Compound sur Optimism, a rug 4 M$ : pause de cBTC, redirection des rewards vers une impl. malveillante, drainage du WBTC et disparition.

Un health check manquant sur donateToReserves d'Euler a permis de créer une position auto-liquidable et de partir avec 197 M$ — majoritairement rendus.

Les pools de Hedera Hashgraph ont perdu ~515 K$ via un bug du décompileur Smart Contract Service ; Hedera a mis en pause le réseau.

Hope Finance a perdu 1,86 M$ au lancement Arbitrum : le contrat déployé différait de celui audité ; les fonds sont allés directement à Tornado Cash.

Les utilisateurs de Dexible ont perdu 2 M$ après que selfSwap a effectué des appels externes arbitraires avec des données fournies par l'utilisateur.

8,5 M$ drainés de Platypus sur Avalanche via un exploit de prêt flash d'emergencyWithdraw(), permettant aux attaquants de retirer la garantie pré-remboursement.

Une réentrance en lecture seule Curve sur remove_liquidity a drainé 3,65 M$ du pool wstETH/ETH de dForce. Un white hat a restitué tous les fonds.

3 M$ drainés d'Orion sur Ethereum/BSC : doSwapThroughOrionPool acceptait des chemins non validés sans garde de réentrance ; un faux jeton a inflé les soldes.

Reporter un prix WALBT absurde à l'oracle Tellor de BonqDAO (10 TRB, sous 1 K$) a minté 120 M$ et fait chuter la TVL du protocole de 99,66 % en une transaction.

Midas Capital sur Polygon a perdu 660 K$ via réentrance en lecture seule Curve mal valorisant une garantie LP jBRL/BRZ pour emprunt à valeur gonflée.