2025L'année en brèches

Une mise à jour d'oracle a créé un décalage 18-vs-8 décimales dans les anciens vaults Ribbon DOV d'Aevo, drainant 2,7 M$. Aevo a fermé les vaults peu après.

USPD, stablecoin décentralisé récent, a perdu ~1 M$ via une faille mint/collatéral qui a permis de minter sans backing suffisant, dépeguant brièvement le jeton.

Le pool StableSwap yETH de Yearn a minté 235 septillions de yETH depuis 16 wei : un retrait avait remis l'offre à zéro mais laissé les soldes virtuels en cache.

Un vol probable de clé privée a donné aux attaquants le contrôle du contrat BSC de GANA Payment ; ils ont manipulé les taux et drainé 3,1 M$ via unstake.

Un défaut de contrôle d'accès et une erreur d'arrondi dans l'invariant de Balancer v2 ont drainé ~120 M$, plus grand exploit DeFi de 2025.

SBI Crypto, filiale minière de SBI Holdings, a perdu 24 M$ en BTC, ETH, LTC, DOGE et BCH. Non détecté pendant 7 jours, signalé par ZachXBT (motif Lazarus).

GriffinAI, projet crypto d'agents IA, a perdu ~3 M$ après qu'une faille bridge/mint a permis de minter des tokens GAIN non backés et de les dumper.

UXLINK, un protocole Web3 social, a perdu environ 41 M$ après que les attaquants ont compromis les clés multi-sig et exploité un delegatecall non restreint.

~2 M$ rug-pullés de New Gold Protocol, projet « adossé à l'or » sur BNB Chain dont l'autorité privilégiée a drainé les dépôts avant la disparition de l'équipe.

Le SOL Earn de SwissBorg a perdu 41,5 M$ (193 000 SOL) via une API compromise chez le prestataire Kiln. SwissBorg n'a pas été piraté ; l'infra tierce, si.

Une erreur d'arrondi dans la fonction withdraw de Bunni DEX a drainé 8,4 M$ sur Ethereum et Unichain. Le protocole a fermé.

Odin.fun, une launchpad memecoin Bitcoin, a perdu ~7 M$ quand des attaquants ont manipulé la comptabilité de liquidité de la courbe pour drainer les pools BTC.

Une compromission de hot wallet sur 7 chaînes a drainé 48 M$ chez BtcTurk, deuxième hack majeur en 14 mois. Le cold storage est resté intact.

Une faille de distribution frais/récompenses a permis d'extraire à répétition de la valeur des pools BetterBank sur PulseChain, drainant 5 M$.

Une faille du mint de tokens de crédit de Credix sur BNB Chain a permis de minter et racheter contre des positions fabriquées, drainant 4,5 M$.

Des attaquants ont drainé 44 M$ d'un compte de liquidité interne de CoinDCX pour réserves d'échange partenaire ; perte absorbée par la trésorerie.

Des attaquants ont compromis le backend BigONE et réécrit la logique de risque pour auto-approuver tout retrait, drainant 27 M$ sans exposer de clés.

Une faille proche d'une réentrance dans le pricing GLP de GMX v1 a permis de drainer ~42 M$, restitués en quelques jours contre un bounty white-hat.

9,8 M$ drainés de Resupply en moins de 90 minutes quand un prêt flash de 4 000 $ a exploité un coffre wstUSR de 2 heures via une attaque par donation ERC-4626.

Plus de 90 M$ drainés du plus grand échange iranien par Predatory Sparrow, puis brûlés vers des adresses avec messages anti-IRGC — destruction, pas profit.

Une faille de vérification d'auto-listing a drainé 8,37 M$ (jusqu'à 16,2 M$ avec les tokens ALEX) d'ALEX Protocol sur Stacks, second incident majeur en 13 mois.

Une faille de contrôle d'accès a drainé 3,76 M$ du Force Bridge de Nervos sur Ethereum et BNB Chain ; le butin a été routé via Tornado Cash et FixedFloat.

Un attaquant a drainé 12 M$ (3 761 wstETH) de Cork Protocol en créant un marché référençant le DS d'un autre, via un hook Uniswap v4 malveillant.

Une faille du garde-overflow dans le plus grand DEX de Sui a permis d'injecter une position de liquidité minuscule lue comme gigantesque, drainant 223 M$.

Zunami Protocol a perdu ~500 K$ dans un second incident, 2 ans après son exploit Curve 2023, à nouveau via tarification manipulable dans sa stratégie.

2,15 M$ drainés de MobiusDAO sur BNB Chain après un double scaling 10^18 créant 9,73 quadrillions de MBU à partir de 0,01 BNB ; blanchi via Tornado Cash.

Loopscale sur Solana a perdu 5,8 M$ 16 jours après le lancement via manipulation de l'oracle PT de RateX. Tous les fonds restitués pour une prime de 10%.

7,5 M$ extraits des perps KiloEX sur Base, opBNB et BSC : le MinimalForwarder sautait les vérifs de signature ; positions à 100 $ / 10 000 $.

UPCX a perdu environ 70 M$ de son trésor après qu'un compte admin compromis a poussé une mise à niveau de contrat malveillante sur la plateforme de paiements.

355 K$ (toute la TVL) drainés du protocole SIR.trading via un mauvais usage du stockage transitoire qui a usurpé le check d'appelant uniswapV3SwapCallback.

Un attaquant a drainé 13 M$ (6 260 ETH) des Cauldrons GM d'Abracadabra via un dépôt GMX en échec, une auto-liquidation et un réemprunt du collatéral orphelin.

8,4 M$ drainés de Zoth, un protocole de restaking RWA, après compromission de sa clé deployer utilisée pour pousser une implémentation proxy malveillante.

Un bug d'un ancien resolver Fusion v1 a permis à un attaquant de forger des calldata pour drainer 5 M$ des TrustedVolumes 1inch. Protocole et fonds intacts.

49,5 M$ drainés du vault Morpho MEVCapital USDC d'Infini par l'adresse qui a construit le contrat et a discrètement gardé l'autorité admin après lancement.

ZeroLend a perdu ~371 K$ : une attaque classique d'inflation de parts par donation sur un marché fraîchement listé qui manquait d'un dépôt initial protecteur.

Du JavaScript malveillant injecté dans l'UI Safe{Wallet} a drainé 401 000 ETH (1,46 Md$) d'un transfert cold-wallet Bybit, plus grand vol crypto jamais.

9,5 M$ drainés de zkLend sur Starknet via un bug d'arrondi dans sa lib safeMath ; des arrondis répétés ont gonflé raw_balance jusqu'à vider les pools.

8,6 M$ extraits d'Ionic Money sur Mode après usurpation de Lombard Finance pendant des semaines, listing d'un faux LBTC et emprunt contre.

~73 M$ drainés des hot wallets de Phemex sur 16 blockchains dans un balayage coordonné — premier piratage d'échange majeur de 2025, TTPs cohérents avec Lazarus.

The Idols NFT a perdu ~324 K$ : une faille comptable de récompenses de staking a permis à un attaquant de réclamer des récompenses bien au-delà du dû.

Moby Trade, protocole d'options Arbitrum, a perdu ~1 M$ après compromission d'une clé privilégiée utilisée pour truquer le règlement. SEAL a limité les dégâts.