L’histoire d’Echo Protocol ressemblait au début à un autre hack DeFi majeur d’une valeur de 76,7 millions de dollars. Mais la réalité s’est avérée différente. L’attaquant n’a pas rompu le contrat intelligent ni trouvé de vulnérabilité complexe dans le code. Il a eu accès à la clé d'administration, a émis 1 000 faux eBTC et a pu retirer environ 816 000 $ d'actifs réels du système.
C’est la différence entre les 76,7 millions de dollars « papier » et les 816 000 dollars réels qui est devenue la principale conclusion de cette attaque. Le problème n'était pas la blockchain Monad ou le code Echo sous-jacent, mais plutôt le contrôle d'accès, la faiblesse des procédures internes et la confiance du protocole de prêt Curvance dans la garantie nouvellement émise.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
L'attaque a commencé avec un accès administrateur volé
Echo Protocol opère dans le segment BTCFi et publie des versions enveloppées de Bitcoin pour DeFi. Sur Aptos, le projet utilise aBTC et sur le réseau Monad, il a émis eBTC. Ces actifs n'étaient pas directement liés les uns aux autres, l'incident a donc affecté l'eBTC sur Monad.
L'attaquant a obtenu l'accès aux droits d'administrateur du jeton eBTC. Après cela, il a fait semblant d'être un monnayeur et a émis 1 000 eBTC sur son propre portefeuille. Selon la valorisation boursière, cela ressemblait à 76,7 millions de dollars, mais il n’y avait pas de véritable Bitcoin sous ces jetons. C'étaient des jetons vides sans garantie.
Pourquoi 76,7 millions de dollars ne se sont pas transformés en pertes réelles
Les faux eBTC eux-mêmes n’avaient aucune valeur jusqu’à ce qu’ils puissent être échangés contre des actifs réels. Le problème pour l'attaquant était la faible liquidité de Monad. Il était impossible de vendre 1 000 eBTC sur DEX : le marché ne pouvait tout simplement pas gérer un tel volume et le prix s'effondrerait presque immédiatement.
L’attaquant a donc choisi une voie différente. Il a déposé 45 eBTC dans Curvance en garantie et a emprunté 11,29 WBTC, ce qui représente environ 868 000 $ en valeur réelle. Les actifs ont ensuite été transférés vers Ethereum, échangés contre environ 384 ETH et envoyés via Tornado Cash. Le montant total du retrait réel était d'environ 816 000 $.
Curvance a accepté les fausses garanties comme étant réelles
Le deuxième point faible d'attaque apparaît du côté de Curvance. Le protocole a accepté l’eBTC comme garantie normale sans vérifier si ces jetons étaient réellement soutenus par Bitcoin. Pour le contrat, il s'agissait simplement d'eBTC dans le portefeuille de l'utilisateur.
C’est ce qui a permis à l’attaquant de transformer de faux tokens en véritable WBTC. Curvance n'a pas été piraté directement, mais son système d'évaluation des garanties s'est avéré trop fiable à l'égard d'un actif qui venait d'être libéré grâce à un accès administrateur compromis.
Echo a réussi à brûler la plupart des faux jetons
Après avoir détecté l'attaque, Echo a repris le contrôle de l'accès administrateur et a brûlé les 955 eBTC restants dans le portefeuille de l'attaquant. L'équipe a également suspendu les fonctionnalités associées sur Monad et limité temporairement les ponts et les outils de prêt sur Aptos, bien que la partie Aptos elle-même n'ait pas été affectée.
Curvance a suspendu le marché de l'eBTC et a signalé que la structure isolée des pools empêchait le problème de se propager à d'autres actifs. Monad n’a pas non plus été compromise. Le réseau fonctionnait normalement, mais l’incident restait au niveau applicatif.
La principale erreur d'Echo est une clé au lieu d'une protection normale
La partie la plus importante de l'incident est le périphérique d'accès administrateur. Le rôle clé a été attribué à un seul portefeuille ordinaire, plutôt qu'à un portefeuille multi-signatures. Cela signifie qu’une clé privée volée suffisait pour prendre le contrôle de l’émission d’eBTC.
De plus, le système n'avait pas de timelock, de limite d'émission de jetons ou de limite de vitesse de frappe. L'attaquant a pu s'octroyer des droits et émettre 1 000 eBTC immédiatement, sans délai et sans délai pour que la commande puisse réagir. Pour un projet DeFi avec une valeur d'actif importante, il s'agit de mesures de sécurité de base et non d'une architecture complexe.
DeFi est de plus en plus piraté sans code
L’Echo était un autre exemple d’une tendance plus large pour 2026. Les pertes les plus importantes dans DeFi ne proviennent de plus en plus de bogues Solidity, mais de compromissions sur les clés, l'infrastructure, l'accès administrateur, les ponts et les processus internes.
En avril, Drift a perdu 285 millions de dollars suite à une ingénierie sociale, et KelpDAO a perdu 292 millions de dollars en raison d'une attaque d'infrastructure. Verus Bridge a été confronté à un problème de vérification inter-chaînes, THORChain a signalé un piratage d'une valeur de plus de 10 millions de dollars. Echo s'est retrouvé dans la même logique : le code a pu fonctionner comme prévu, mais le système de sécurité environnant a échoué.
Les attaquants ont dépassé le niveau des contrats intelligents
Ces dernières années, DeFi s’est amélioré dans la révision du code. Les audits, les programmes de primes et la vérification formelle sont devenus la norme pour les grands projets. Mais les attaquants ont simplement changé d’orientation.
Désormais, ils sont plus susceptibles de cibler des éléments qui ne font pas toujours l'objet d'un audit complet : les clés privées, les rôles d'administrateur, les serveurs, l'infrastructure RPC, les employés, les outils de développement et les procédures de gestion. C’est pire pour le marché, car de telles attaques sont plus difficiles à repérer à l’avance et plus difficiles à arrêter sur le moment.
Echo a eu de la chance en raison de la faible liquidité de Monad
En fait, Echo n’a pas été sauvée par une bonne protection, mais par des liquidités limitées. Si le même volume de faux jetons avait abouti sur un réseau plus profond avec un marché développé, les dégâts auraient pu être beaucoup plus proches des 76,7 millions de dollars annoncés.
Sur Ethereum ou un autre grand écosystème, un attaquant pourrait trouver d’autres moyens de transformer de fausses garanties en actifs réels. Dans le cas de Monad, il n'a pu retirer que ce que les liquidités de Curvance lui permettaient.
Quelle est la prochaine étape ?
L’incident d’Echo montre que la principale menace pour DeFi en 2026 ne réside plus seulement dans les contrats intelligents. Les protocoles peuvent avoir un code fonctionnel mais restent vulnérables en raison d'une clé d'administration faible, du manque de délais et d'une mauvaise vérification des garanties.
Pour les actifs enveloppés, la question principale est simple : qui peut émettre des jetons et quelle est la difficulté de s’emparer de cet accès. Si l’émission est contrôlée par un seul portefeuille, l’ensemble du protocole est effectivement conservé sur une seule clé privée.
Echo s'en est sorti avec relativement peu de pertes réelles. Mais la leçon pour le marché est dure : la multi-signature, les délais, les limites d’émission et la vérification des garanties devraient être obligatoires, et non des options supplémentaires après le prochain piratage.
En savoir plus: PCE, marché du travail et logement. La semaine décidera du sort des taux de la Fed et du Bitcoin
Voir l’article original en russe
