Trois exploits DeFi en quatre jours : THORChain, Verus et Echo Protocol sous le feu des attaques

Entre le 15 et le 18 mai 2026, trois incidents majeurs ont frappé la finance décentralisée (DeFi) : THORChain, le bridge Verus–Ethereum, et Echo Protocol.

Ces attaques sont survenues à quelques jours d’intervalle, mais elles n’étaient pas liées entre elles. Chacune visait une couche différente de l’infrastructure DeFi : les systèmes de signature des validateurs, la logique de vérification d’un bridge cross‑chain, et l’accès administratif privilégié.

Au total, environ 22 millions de dollars ont réellement été extraits, même si l’incident Echo Protocol a brièvement généré une exposition synthétique de plus de 76 millions de dollars avant que la majorité des tokens ne soit neutralisée.

1. Exploit de THORChain — 15 mai 2026

Perte estimée : environ 10,7 à 10,8 millions de dollars.

THORChain, un protocole de liquidité cross‑chain permettant d’échanger des actifs natifs entre blockchains, a suspendu ses échanges et ses opérations de signature après avoir détecté des sorties suspectes depuis l’un de ses coffres Asgard. L’enquête a confirmé qu’environ 10,7–10,8 millions de dollars d’actifs avaient été drainés sur plusieurs réseaux, dont Bitcoin, Ethereum, BNB Chain et Base.

L’attaque semble avoir visé le système de signature à seuil GG20 (TSS) utilisé pour signer les transactions depuis les coffres du protocole. Selon les premières analyses, un nœud validateur malveillant ou compromis aurait exploité une faiblesse dans le processus de signature multi‑parties, permettant finalement de reconstruire l’autorité de signature du coffre.

Contrairement à de nombreux hacks DeFi, les pertes concernaient des actifs appartenant au protocole lui‑même, et non les dépôts des utilisateurs ou les fonds des fournisseurs de liquidité.

Réaction du protocole :

• Détection automatique d’activité anormale et arrêt immédiat des échanges et signatures.
• Suspension du processus de rotation des coffres (« churn ») et audit des infrastructures de nœuds.
• Enquête ciblée sur un nœud récemment ajouté soupçonné d’être à l’origine de l’attaque.

Cet incident a ravivé les inquiétudes concernant la sécurité des portefeuilles MPC/TSS, conçus pour répartir le contrôle d’une clé privée mais dépendant fortement du comportement correct des validateurs et de l’implémentation logicielle.

2. Exploit du bridge Verus–Ethereum — 18 mai 2026

Perte estimée : environ 11,58 millions de dollars.

Trois jours plus tard, des attaquants ont ciblé le bridge cross‑chain entre Verus et Ethereum, drainant environ 11,5 à 11,6 millions de dollars. Les fonds volés comprenaient 103,6 tBTC, 1 625 ETH et environ 147 000 USDC, ensuite convertis en ETH et regroupés dans un seul portefeuille.

Les chercheurs en sécurité ont identifié la cause principale : un message de transfert cross‑chain falsifié que le bridge a accepté comme valide.

Le problème venait d’un défaut de validation entre les deux côtés du bridge. Bien que la chaîne Verus et le smart contract Ethereum effectuaient chacune certaines vérifications, aucune ne garantissait que la valeur réellement déposée sur la chaîne source correspondait au montant libéré sur la chaîne de destination.

L’attaquant a ainsi pu soumettre une preuve apparemment valide tout en déposant presque aucune valeur réelle, trompant le bridge pour qu’il libère des actifs non couverts.

Réaction du protocole :

• Les sociétés de sécurité blockchain comme Blockaid et PeckShield ont signalé l’attaque en temps réel.
• Les opérations du bridge et certains nœuds ont été suspendus pendant l’enquête.
• Les développeurs ont commencé à préparer des correctifs pour renforcer les contrôles de validation cross‑chain.

L’attaque rappelle d’autres incidents majeurs comme Wormhole ou Nomad, confirmant que les bridges restent l’un des maillons les plus vulnérables de l’écosystème DeFi.

3. Exploit d’Echo Protocol — signalé les 18‑19 mai 2026

Exposition théorique : environ 76,6 à 76,7 millions de dollars en eBTC non autorisés.
Perte réelle estimée : environ 816 000 dollars.

Echo Protocol, une plateforme DeFi orientée Bitcoin déployée sur la blockchain Monad, a subi une intrusion critique après qu’un attaquant a obtenu le contrôle d’une clé privée administrative liée aux contrats de mint d’eBTC.

Avec ces privilèges, l’attaquant a créé environ 1 000 eBTC non autorisés, représentant une valeur théorique d’environ 76 à 77 millions de dollars au prix du marché.

Cependant, les limitations de liquidité ont empêché l’extraction de la plupart de cette valeur.

Les analyses on‑chain montrent que l’attaquant a :

• Déposé 45 eBTC comme collatéral dans le protocole de prêt Curvance.
• Emprunté environ 11,29 WBTC.
• Transféré ces fonds vers Ethereum et les a échangés contre de l’ETH.
• Blanchi environ 384 ETH via Tornado Cash.

Selon plusieurs analyses de sécurité, la perte réellement réalisée serait d’environ 816 000 dollars, soit bien moins que la valeur nominale des tokens frappés.

Réaction du protocole :

• Suspension immédiate des transactions cross‑chain.
• Récupération du contrôle de la clé administrative compromise.
• Destruction de 955 eBTC encore détenus par l’attaquant.
• Suspension temporaire du marché affecté sur Curvance.

L’incident a mis en évidence les risques de gouvernance lorsque les protocoles reposent sur une seule clé administrative sans garde‑fous comme multisig ou timelock.

Ce que ces attaques révèlent sur la sécurité DeFi en 2026

Pris ensemble, ces trois incidents montrent que les vulnérabilités ne se limitent plus aux smart contracts.

1. Les bridges cross‑chain restent une surface d’attaque majeure

L’attaque contre Verus illustre la fragilité des systèmes reliant plusieurs blockchains. Si un bridge ne vérifie pas strictement qu’un événement sur la chaîne source correspond réellement au paiement sur la chaîne cible, un attaquant peut créer des preuves apparemment valides et drainer les réserves du bridge.

Ces infrastructures détiennent souvent de grandes réserves d’actifs servant de collatéral entre réseaux, ce qui en fait des cibles privilégiées.

2. Les systèmes de clés distribuées ne sont pas sans risque

THORChain utilise des signatures à seuil et le calcul multipartite (MPC) pour éviter qu’une seule entité contrôle les fonds. Mais l’attaque montre que si les règles d’admission des nœuds, la coordination des validateurs ou l’implémentation technique échouent, la couche de signature elle‑même peut être compromise.

3. Les clés administratives restent une faiblesse structurelle

L’attaque d’Echo Protocol démontre les dangers d’un contrôle administratif centralisé. Une seule clé compromise a permis de créer instantanément des dizaines de millions de dollars en actifs synthétiques.

Même si la plupart des tokens ont ensuite été brûlés, l’incident montre à quel point un accès privilégié peut destabiliser un protocole.

4. Les mécanismes d’urgence restent indispensables

Dans les trois cas, les équipes ont dû intervenir rapidement :

• Arrêt du réseau et des signatures (THORChain)
• Suspension du bridge (Verus)
• Pause des marchés, récupération de clé et burn de tokens (Echo)

Ces actions ont limité les pertes, mais elles soulignent aussi une réalité parfois inconfortable : de nombreux systèmes DeFi dépendent encore de mesures d’urgence relativement centralisées pour gérer les crises.

Une évolution des risques dans la DeFi

La série d’exploits de mai 2026 montre que la sécurité DeFi dépasse désormais les simples bugs de smart contracts. Les vulnérabilités majeures apparaissent de plus en plus dans l’infrastructure opérationnelle :

• vérification des messages cross‑chain
• coordination des validateurs
• gestion des clés privilégiées
• mécanismes de gouvernance et d’urgence

À mesure que la finance décentralisée s’étend sur plusieurs blockchains et protocoles interconnectés, ces couches d’infrastructure deviennent le nouveau champ de bataille de la sécurité crypto.