Raydium a promis d'indemniser les fournisseurs de liquidités après une attaque contre le logiciel obsolète AMM V3. L'attaquant a retiré environ 1,34 million de dollars de cinq anciens pools qui n'avaient pas été utilisés depuis 2021 et qui n'étaient pas accessibles via l'interface d'échange principale depuis longtemps.
L'équipe a déclaré que les utilisateurs actuels et les pools actifs n'étaient pas affectés. Selon sa version, l'erreur était isolée dans l'ancien code et n'était pas liée à la compromission des clés ou des droits d'administrateur.
“Fermé l'affaire minimum de +40%…”
« Maintenant, nous travaillons avec plus de 1 300 $ par mois. »
« Il s'avère que l'on retire systématiquement 500 à 600 $ »
Vulnérabilité trouvée dans l'ancien programme
L'incident n'a pas affecté l'infrastructure Raydium existante, mais une partie obsolète du protocole. Nous parlons du programme AMM V3, que l'échange décentralisé sur Solana a retiré de l'utilisation active il y a plusieurs années.
Un membre de l'équipe sous le surnom d'Infra a déclaré que la raison était une erreur logique distincte. Il ne s'applique pas aux autres programmes et ne présente aucun risque pour les bassins actuels.
Il s’agit d’une différence importante par rapport aux attaques via des clés privées volées. Dans ce cas, l’attaquant n’a pas exploité l’accès administratif, mais une faiblesse de l’ancienne mécanique des contrats intelligents. Ce scénario montre que même un code inactif peut rester dangereux s'il contient encore des fonds.
Les faux tokens LP donnaient accès à la liquidité
Selon le chercheur en sécurité Param, l'attaquant a trouvé cinq pools abandonnés où des actifs étaient stockés. Il a ensuite créé de fausses preuves de propriété des actions du pool.
L'ancien programme confondait ces faux jetons LP avec de vrais droits en tant que fournisseur de liquidités. Le contrat permettait ensuite de retirer les actifs comme si l’attaquant possédait réellement une participation dans le pool.
F12 a également suivi l'attaque en chaîne. Selon elle, l’exploit utilisait un jeton LP fabriqué avec une réserve d’une seule unité. Lorsque la demande de retrait a été envoyée, l’ancien contrat a distribué la totalité du solde du pool.
Les fonds ont été retirés via une route inter-chaînes
Après l'attaque, les avoirs volés ont rapidement commencé à quitter Solana. Selon les analystes de la chaîne, le portefeuille d'origine a été réapprovisionné via KuCoin, puis les fonds ont été transférés vers Ethereum via deBridge.
Du côté d’Ethereum, l’attaquant a reçu environ 810 ETH. La majeure partie de ce montant a été envoyée à Tornado Cash pour rendre difficile le suivi. Une petite partie, environ 7 ETH, est passée par FixedFloat.
La publication de l'adresse de l'attaquant devrait aider les bourses et les services d'analyse à surveiller les mouvements ultérieurs des fonds. Plus ces adresses figurent rapidement sur les listes de surveillance, plus il est difficile de retirer des actifs via des plateformes centralisées.
Les dégâts seront couverts par le trésor
L'équipe a déclaré qu'elle compenserait intégralement les pertes des fournisseurs de liquidités. L'argent pour les paiements sera envoyé depuis la trésorerie du projet.
Il n'a pas encore été révélé quand exactement les paiements commenceront et comment la procédure sera structurée. Il n’y a pas non plus de répartition détaillée pour chacun des cinq pools concernés.
Pour les utilisateurs, ce n’est pas seulement le fait de la compensation qui est important. Le marché attendra un rapport clair : quels fonds ont été retirés, quelles adresses ont été affectées et pourquoi il y avait encore des liquidités dans l'ancien programme.
Les pools actifs continuent de fonctionner
Raydium reste l'un des principaux protocoles DeFi de l'écosystème Solana. Selon DefiLlama, la valeur totale verrouillée du projet est d'environ 796,6 millions de dollars, avec un volume d'échanges dépassant 1,1 milliard de dollars au cours des sept derniers jours.
L'équipe souligne que l'exploit n'a pas affecté les programmes actifs. Les pools et les utilisateurs actuels, a-t-elle déclaré, ne courent aucun risque en raison de ce bug particulier.
Néanmoins, l’incident est important pour l’ensemble du secteur. Les protocoles évoluent souvent au fil des années, modifiant les versions des contrats et laissant les anciens composants sur le réseau. Si les actifs restent dans ces composants, ils peuvent devenir des cibles faciles pour les attaquants.
Ce n'est pas le premier incident pour Raydium
Le projet a déjà été confronté à des problèmes de sécurité. En décembre 2022, le protocole a perdu 4,4 millions de dollars après la compromission d'une clé privée.
La nouvelle attaque est conçue différemment. Ensuite, le risque était associé à l'accès à la clé, maintenant – à la logique de l'ancien contrat. Mais pour les utilisateurs, le résultat est similaire : les fonds ont été retirés et l'équipe a été obligée de compenser les pertes et de procéder à un audit.
Après le dernier exploit, les principaux développeurs ont commencé à réviser tous les programmes du réseau principal. C'est la bonne décision, car les vulnérabilités des contrats existants passent souvent inaperçues précisément parce que l'équipe ne les considère plus comme une partie active du produit.
Les anciens contrats sont devenus un risque distinct
Raydium souligne que les pools et les utilisateurs actuels ne sont pas concernés. Mais l'incident a révélé un autre problème : les contrats intelligents ne disparaissent pas du réseau une fois que le projet cesse de les afficher dans l'interface.
Si les actifs restent dans ce code, ils restent une cible pour les attaquants. Cependant, les programmes plus anciens reçoivent souvent moins d’attention parce que l’équipe les a longtemps considérés comme inactifs.
C’est pourquoi la vérification des programmes du réseau principal est devenue une étape obligatoire après une attaque. Le marché doit s’assurer que les autres éléments de l’infrastructure héritée ne contiennent pas de bugs ou de résidus similaires.
Les hacks ont encore touché l'ancien code
L'incident s'inscrit dans le tableau global de 2026. Selon CertiK, il y a eu 60 attaques et incidents de sécurité confirmés en mai, avec une perte totale de 68,3 millions de dollars, soit le nombre mensuel d'incidents le plus élevé de l'année.
Les erreurs dans le code sont particulièrement visibles. Ils représentent plus de 45 millions de dollars de pertes en mai. Les attaques récentes contre Gnosis Pay et TesseraDAO, ainsi que le portage de la vulnérabilité Flooring Protocol vers son fork Asterisk, montrent le même problème : si le code est surutilisé ou n'est pas testé pendant une longue période, le risque se propage rapidement.
PeckShield estime qu’à la fin du mois de mai, les pertes dues aux exploits cryptographiques en 2026 approchaient les 1,3 milliard de dollars. Sur ce montant, environ 340,7 millions de dollars provenaient d'attaques liées aux ponts. Dans ce contexte, le cas Raydium semble plus petit, mais il montre clairement le point faible du marché : les contrats oubliés et les itinéraires inter-chaînes restent une cible facile.
Quelle est la prochaine étape ?
Raydium doit terminer sa revue du logiciel et publier une politique de rémunération claire. Il est important que les utilisateurs voient non seulement la promesse de paiements, mais également une explication de la raison pour laquelle le programme vulnérable détenait toujours des fonds depuis 2021.
Si les paiements sont effectués rapidement et que l’audit ne révèle pas de nouveaux problèmes, l’atteinte à la réputation peut rester limitée. Si l'audit révèle d'autres contrats de liquidité oubliés, le marché devra attendre des mesures supplémentaires.
La conclusion principale est simple. L'attaque n'a pas affecté les pools Raydium actuels, mais a exposé le risque d'une infrastructure plus ancienne. Même si le contrat a longtemps été supprimé de l'interface, il continue de fonctionner sur le réseau et peut devenir une cible pour un pirate informatique.
En savoir plus: La CFTC prend les premières mesures pour contrôler les marchés de prédiction
Voir l’article original en russe
