Incidents de sécurité

Message de Gate News, 21 avril — La chercheuse en sécurité Doyeon Park a révélé une faille critique 0-day (CVSS 7.1) dans CometBFT, la couche de consensus de Cosmos, selon un billet publié sur X. Le défaut pourrait provoquer le blocage des nœuds du réseau pendant la synchronisation des blocs, perturbant les opérations du système, mais ne peut pas entraîner directement un vol d'actifs, jusqu’à d

Des criminels se faisant passer pour des policiers en France ont contraint un couple à transférer près de $1M en Bitcoin, en utilisant la peur et l’autorité dans une « attaque au tournevis » qui exploite les gens, pas les portefeuilles. Résumé : Les attaquants ont eu recours à l’usurpation d’identité et à la coercition psychologique pour forcer un transfert de Bitcoin, illustrant une attaque au tournevis qui vise la vulnérabilité humaine plutôt que des exploits techniques du portefeuille.

Message des actualités Gate, 21 avril — Un professionnel de l’industrie crypto âgé de 40 ans à Saint-Jean-de-Védas, près de Montpellier, en France, a déjoué une tentative de vol à main armée à son domicile. Le suspect, déguisé en livreur, est entré dans la résidence et a exigé que la victime remette les clés privées du portefeuille de cryptomonnaies

LayerZero a attribué, le 18 avril, à $290 million de l’exploitation de KelpDAO relative à la configuration rsETH inter-chaînes, le fait d’avoir été commis par le groupe Lazarus de Corée du Nord, décrivant l’attaquant comme un « acteur étatique hautement sophistiqué ». Selon LayerZero, l’incident a été limité à la configuration rsETH de KelpDAO et ne s’est pas propagé à d’autres

Message de Gate News, 21 avril — Des escrocs se faisant passer pour des autorités iraniennes ont ciblé des compagnies maritimes avec des navires immobilisés à l’ouest du détroit d’Ormuz, exigeant des paiements en Bitcoin et Tether (USDT) en échange d’un passage en toute sécurité, selon la société de risques maritimes Marisks. Les fraudeurs

Message de Gate News, 21 avril — La Banque des règlements internationaux (BIS) a réitéré ses inquiétudes au sujet des stablecoins, et le directeur général Pablo Hernandez de Cos a averti que les stablecoins libellés en dollars, tels que USDT et USDC, sont fondamentalement plus risqués que ce que l’on pense généralement. Cos a déclaré que

Message de Gate News, 21 avril — Les déposants DeFi ont rencontré des problèmes de retrait au cours du week-end sur plusieurs protocoles majeurs, dont Aave, rsETH et LayerZero, ce qui a poussé le fondateur de Curve Finance, Michael Egorov, à critiquer publiquement l’approche architecturale de l’industrie. « Sommes-nous une industrie de clowns ? » Egorov

Arbitrum a gelé 30 766 ETH provenant du piratage de KelpDAO, a travaillé avec les forces de l’ordre et a récupéré environ un quart des actifs, tout en immobilisant les fonds en attendant la gouvernance, dans un contexte de débats opposant décentralisation et sécurité. Résumé : Cet article indique que le Conseil de sécurité d’Arbitrum a gelé 30 766 ETH (environ $70 millions) liés à l’exploit de KelpDAO, avec neuf voix sur douze, et a transféré les fonds vers un portefeuille sécurisé en coordination avec les forces de l’ordre. L’opération n’a ciblé que les actifs affectés afin de réduire au maximum la perturbation du réseau. L’auteur de l’exploitation est soupçonné d’avoir des liens avec la RPDC. La brèche a commencé le 18 avril via un pont propulsé par LayerZero, vidant 116 500 rsETH (~$292 millions). Environ un quart des actifs volés ont été récupérés. Les fonds gelés resteront immobilisés jusqu’à ce que la gouvernance et les autorités judiciaires décident des prochaines étapes, ce qui alimente le débat entre décentralisation et sécurité.

Message de Gate News, 21 avril — Des acteurs inconnus ont envoyé des messages frauduleux à des compagnies maritimes dont les navires étaient immobilisés à l’ouest du détroit d’Ormuz, affirmant être des autorités iraniennes et proposant un passage en toute sécurité contre le paiement de frais en Bitcoin ou Tether, selon le cabinet de risque grec MARISKS. Les messages

Aave a annoncé le 21 avril sur la plateforme X que les réserves de WETH sur le marché Ethereum Core V3 ont été dégelées, et que les utilisateurs peuvent à nouveau approvisionner du WETH vers Ethereum Core V3 ; le ratio de valeur des prêts WETH (LTV) reste à 0. Les réserves de WETH sur Ethereum Prime, Arbitrum, Base, Mantle et Linea restent gelées.

Une femme de Hong Kong a perdu 7,7 millions de HKD à un escroc se faisant passer pour un expert en investissement sur Telegram, promettant des rendements élevés avec un risque faible. Après avoir transféré des fonds à plusieurs reprises, elle n’a pas pu retirer son argent, ce qui a révélé l’escroquerie. La police a mis en garde contre ce type d’arnaques.

Ice Open Network a publié un message sur X le 20 avril, confirmant l’incident de fuite de données survenu la semaine précédente. La cause est que, après la fin des relations d’affaires avec un fournisseur de services tiers, quatre partenaires ont continué d’accéder à des serveurs externes, ce qui a divulgué les adresses e-mail des utilisateurs, les numéros de téléphone associés à la 2FA et des données reliant les identités. Le contexte de cet incident est le suivant : le token ION avait déjà chuté de 93 % il y a deux semaines, et l’équipe du projet traverse une période de vaste restructuration d’urgence.

Le directeur général de la Banque des règlements internationaux (BIS), Pablo Hernández de Cos, a averti lundi, lors d’un séminaire de la Banque du Japon, que la taille du marché mondial des stablecoins avait dépassé 315,9 milliards de dollars, mais que son mécanisme de fonctionnement ressemble davantage à des produits d’investissement tels que les ETF qu’à de la véritable monnaie. La BIS indique qu’en cas de rachats à grande échelle, cela déclencherait un effet de contagion de retraits en cascade similaire à celui survenu en 2023 avec la Silicon Valley Bank.

Michael Egorov, fondateur de Curve Finance, a mis en évidence les vulnérabilités de l’industrie DeFi après un piratage important. Il a souligné la nécessité de mesures préventives, de normes de sécurité collaboratives et de mécanismes de responsabilité afin de restaurer la confiance et d’assurer une adoption sécurisée dans le secteur.

Le comité de sécurité d'Arbitrum a annoncé le 21 avril avoir pris des mesures d’urgence, en gelant 30 766 ETH sur la chaîne Arbitrum One liés à l’attaque menée par un hacker contre KelpDAO. Le comité de sécurité, avec l’assistance des forces de l’ordre, a confirmé l’identité de l’attaquant, et a conçu un ensemble de mesures techniques afin de transférer les fonds vers un portefeuille de gel intermédiaire, sans affecter l’état d’autres chaînes ni les utilisateurs d’Arbitrum.

La mère d’un créateur a déclaré que ses comptes sur les réseaux sociaux avaient été piratés, ce qui a entraîné des publications liées à la crypto sans autorisation. Elle a précisé que celles-ci ne reflètent pas ses opinions.

Kelp DAO a publié une déclaration le 21 avril pour réfuter les critiques de LayerZero concernant sa configuration de 1/1 DVN, en attribuant la responsabilité fondamentale de cette faille de 292 millions de dollars à l’infrastructure de LayerZero. Aave publie un rapport d’évaluation de l’impact de l’événement : dans un scénario de pertes réparties de manière uniforme, environ 124 millions de dollars, tandis que dans un scénario où les pertes sont concentrées sur le L2, elles peuvent atteindre jusqu’à 230 millions de dollars.

KelpDAO provoque une vulnérabilité qui fait chuter la valeur totale verrouillée (TVL) d’Aave : après être passée de 26,4 milliards de dollars au 18 avril 2026 à environ 17 milliards de dollars le 21 avril, le fondateur de DefiLlama, 0xngmi, a répondu officiellement sur la plateforme X aux accusations selon lesquelles ses données de TVL d’Aave auraient été exagérées via la liquidité en boucle. Il a déclaré que le montant des jetons prêtés a déjà été déduit de la TVL.

L’analyse des LayerZero OApps après le piratage de KelpDAO révèle des problèmes de sécurité importants, 47% utilisant le niveau DVN 1-of-1 le moins sécurisé. Le jeton rsETH de KelpDAO fonctionne également à ce niveau vulnérable, exposant les risques des architectures à validateur unique.