Exploit de 10 M$ sur THORChain : ce que l’on sait du piratage du coffre Asgard

THORChain, un protocole de liquidité décentralisé permettant des échanges entre plusieurs blockchains, a subi en mai 2026 un incident de sécurité majeur. L’attaque aurait entraîné environ 10 à 10,8 millions de dollars de pertes provenant de son infrastructure de coffres. Les actifs concernés provenaient de Bitcoin, Ethereum, BNB Chain et Base, ce qui a déclenché l’arrêt temporaire du réseau et relancé les débats sur la sécurité des systèmes DeFi multi‑chaînes.

Selon les analyses initiales, l’attaque serait liée à une vulnérabilité dans le système cryptographique GG20 Threshold Signature Scheme (TSS) utilisé par le protocole.

Ce qui s’est passé lors du piratage

Des chercheurs en sécurité et des analystes on‑chain ont signalé des sorties inhabituelles de fonds à la mi‑mai 2026. Les estimations indiquent que l’attaquant aurait retiré environ 36,75 BTC (près de 3 millions de dollars) ainsi qu’environ 7 millions de dollars en tokens depuis plusieurs blockchains connectées.

L’attaque visait l’un des coffres Asgard de THORChain. Ces coffres sont des infrastructures multi‑chaînes qui stockent et gèrent les actifs nécessaires aux échanges entre blockchains. Ils reposent sur un système de signature distribué entre plusieurs nœuds validateurs.

Dès la détection de l’activité anormale, THORChain a suspendu le trading et les opérations de signature afin d’empêcher d’autres transferts pendant l’enquête.

Comment la faille GG20 a été exploitée

L’hypothèse principale concerne l’implémentation du GG20 Threshold Signature Scheme, une méthode cryptographique utilisée dans les portefeuilles basés sur le calcul multipartite (MPC).

Contrairement à un portefeuille classique, la clé privée n’est pas stockée en un seul endroit. Elle est fragmentée entre plusieurs participants, et une transaction ne peut être signée que lorsque suffisamment de fragments sont combinés.

Les enquêteurs pensent que l’attaquant a exploité une faiblesse dans cette implémentation. Les premiers éléments indiquent qu’un nœud récemment ajouté au réseau de validateurs pourrait être impliqué.

Selon cette théorie, l’attaquant aurait progressivement réussi à extraire ou reconstruire des fragments de clé, jusqu’à pouvoir générer une signature valide et effectuer des transactions depuis le coffre compromis.

Une fois suffisamment d’informations cryptographiques reconstituées, les retraits frauduleux ont pu être exécutés comme s’ils provenaient du protocole lui‑même.

Le système de surveillance automatique de THORChain a finalement détecté l’anomalie et interrompu la signature des transactions, ce qui a limité l’ampleur des pertes.

Des informations contradictoires sur un portail de remboursement

Un autre aspect marquant de cet incident est la confusion autour d’un éventuel programme de remboursement.

Certains médias crypto ont rapporté que THORChain aurait lancé le 16 mai un portail de récupération auto‑custodial, financé par un fonds de trésorerie de 10 millions de dollars, permettant aux utilisateurs affectés de :

• vérifier leur éligibilité à une compensation
• révoquer des autorisations de tokens potentiellement malveillantes
• soumettre une demande de remboursement

Ces rapports affirment que 12 847 portefeuilles seraient concernés et que les demandes pourraient être déposées pendant 21 jours, jusqu’au 4 juin.

Cependant, d’autres déclarations attribuées à l’équipe de THORChain affirment l’inverse. Les développeurs ont averti les utilisateurs de la présence de faux portails de récupération et de comptes usurpant l’identité du projet, expliquant que de fausses informations circulaient concernant des remboursements ou des compensations.

En raison de ces informations contradictoires, les utilisateurs ont été invités à considérer tout portail de remboursement comme non vérifié tant qu’il n’est pas confirmé via les canaux officiels de THORChain.

Alerte aux arnaques après l’attaque

Après l’exploit, THORChain a également signalé une augmentation des tentatives d’escroquerie ciblant les victimes.

Plusieurs comptes frauduleux ont commencé à promouvoir :

• de faux programmes de remboursement
• des airdrops inexistants
• des formulaires de compensation

Le protocole a exhorté les utilisateurs à ignorer tout lien non officiel, car les campagnes de phishing sont fréquentes après des incidents de sécurité majeurs dans la DeFi.

Impact sur le marché : chute du token RUNE

L’incident a immédiatement affecté la perception du marché.

Le token natif de THORChain, RUNE, a chuté d’environ 11 à 12 % en 24 heures, tombant brièvement autour de 0,51 $ après la divulgation du piratage.

Cette réaction reflète l’inquiétude des investisseurs concernant :

• la sécurité des portefeuilles MPC
• l’infrastructure des ponts et protocoles cross‑chain
• la confiance dans les validateurs

Ces préoccupations apparaissent régulièrement après des exploits touchant des systèmes multi‑chaînes.

Pourquoi cet incident est important pour la DeFi

Le piratage de THORChain met en évidence un risque structurel dans la finance décentralisée : les protocoles multi‑chaînes concentrent une grande partie du risque dans leurs mécanismes de signature cryptographique.

Si ces systèmes – comme le MPC ou les signatures à seuil – présentent une faille, les actifs provenant de plusieurs blockchains peuvent être exposés simultanément.

L’incident montre aussi que la communication après un hack devient elle‑même une surface d’attaque. Les faux portails de récupération et les campagnes d’usurpation peuvent entraîner de nouvelles pertes si les utilisateurs connectent leur portefeuille à des sites frauduleux.

La suite pour THORChain

Les investigations se poursuivent. Des chercheurs en sécurité et des sociétés d’analyse blockchain examinent actuellement les portefeuilles et les flux de transactions de l’attaquant afin de retracer les fonds volés. Certaines analyses suggèrent que les adresses utilisées pour l’attaque avaient été financées plusieurs semaines avant l’incident, ce qui indiquerait une préparation préalable.

Parallèlement, les développeurs de THORChain étudient des améliorations de leur infrastructure cryptographique, notamment une possible mise à jour ou un remplacement du système de signatures à seuil utilisé actuellement.

En attendant un rapport technique complet, l’incident rappelle une réalité persistante dans la DeFi : même les protocoles les plus avancés peuvent présenter des vulnérabilités critiques, et la transparence dans la gestion des crises est devenue aussi importante que les correctifs techniques eux‑mêmes.