Quelques heures plus tard, l'attaquant a tenté de convertir les stablecoins volés en ETH via un exchange décentralisé. C'est là que l'opération a déraillé — non pas à cause d'une faille du protocole, mais parce que le pirate n'avait pas paramétré de protection contre le glissement de prix (slippage). Un bot MEV a détecté la transaction en attente dans le mempool public et a exécuté une classique attaque sandwich : il a acheté des ETH juste avant la transaction du pirate (faisant grimper le prix), a laissé l'achat du pirate se réaliser à ce prix gonflé, puis a immédiatement revendu sa position ETH pour empocher la différence .

Le bot a ainsi soutiré environ 371 000 $ des fonds volés, en dépensant près de 3,5 ETH en frais de gaz pour s'assurer l'ordre des transactions. L'attaquant n'a récupéré qu'environ 67 WETH (soit ~129 000 $) — une perte nette de plus de 74 % du butin .

Comment fonctionne l'attaque sandwich MEV

Une attaque sandwich est une forme d'exploitation de la valeur extractible maximale (MEV) qui repose sur l'ordre des transactions dans un mempool public. Voici comment le bot a procédé :

1. Surveillance du mempool : Les bots MEV scrutent en continu le mempool public à la recherche de transactions d'échange importantes avec une tolérance au glissement trop large.
2. Front-running : Le bot repère la transaction du pirate (achat d'ETH avec des USDC) et soumet immédiatement son propre ordre d'achat d'ETH, avant celle du pirate.
3. La victime passe au milieu : La transaction du pirate s'exécute au prix désormais plus élevé, recevant moins d'ETH pour la même quantité d'USDC.
4. Back-running : Le bot revend ses ETH juste après la transaction du pirate, profitant de la différence de prix.

Dans ce cas précis, le pirate a utilisé Uniswap V4 sans définir de seuil de glissement, laissant au bot une marge de manœuvre quasi illimitée pour manipuler le prix d'exécution sur l'ensemble du lot de transactions .

Ce que cet incident révèle sur la sécurité de la DeFi

• Les bots MEV sont des opportunistes sans parti pris. Ils ne font pas la différence entre un trader légitime et un criminel. Toute transaction visible dans le mempool public avec un slippage mal configuré est une cible, quel que soit son expéditeur .
• La protection contre le glissement est indispensable. Le pirate a effectué l'échange sans limite de glissement, permettant au bot de manipuler le prix d'exécution sur plusieurs blocs. Un simple plafond de slippage aurait évité la majeure partie de la perte .
• La transparence de la DeFi est une arme à double tranchant. Le même mempool ouvert qui rend le trading sur DEX accessible à tous permet aussi aux bots de passer devant et de « prendre en sandwich » les transactions importantes et mal configurées .
• Le phishing reste le vecteur d'attaque le plus courant. Le vol initial reposait sur un portefeuille compromis, et non sur une faille du protocole. La sécurité côté utilisateur — approvals, signatures, hygiène du portefeuille — reste le maillon faible .

Leçons clés pour les utilisateurs

1. Définissez toujours une tolérance de glissement (slippage) serrée — en général 0,5 % à 1 % pour les échanges importants sur des paires liquides. N'utilisez jamais le mode « automatique » ou un slippage infini .
2. Utilisez des points d'accès RPC protégés contre le MEV ou des services de mempool privés (par exemple Flashbots Protect, BloxRoute) pour éviter que vos transactions ne soient visibles dans le mempool public .
3. Révoquez régulièrement les approvals de jetons inutilisées. La victime avait donné une signature de phishing qui a permis au pirate de vider directement ses USDC .
4. Testez d'abord les échanges importants avec de petites sommes — surtout lorsque vous prenez le contrôle de fonds provenant d'une source suspecte.
5. Comprenez que la transparence de la blockchain peut se retourner contre vous — posséder les clés privées ne garantit pas une exécution sûre si la transaction est visible publiquement et mal paramétrée .

Cet incident est un rappel cinglant que dans la DeFi, la sophistication technique compte à chaque étape : même les criminels peuvent perdre face à des adversaires mieux automatisés lorsqu'ils ignorent les bonnes pratiques de base en matière de transactions.

Quelques heures plus tard, l'attaquant a tenté de convertir les stablecoins volés en ETH via un exchange décentralisé. C'est là que l'opération a déraillé — non pas à cause d'une faille du protocole, mais parce que le pirate n'avait pas paramétré de protection contre le glissement de prix (slippage). Un bot MEV a détecté la transaction en attente dans le mempool public et a exécuté une classique attaque sandwich : il a acheté des ETH juste avant la transaction du pirate (faisant grimper le prix), a laissé l'achat du pirate se réaliser à ce prix gonflé, puis a immédiatement revendu sa position ETH pour empocher la différence .

Le bot a ainsi soutiré environ 371 000 $ des fonds volés, en dépensant près de 3,5 ETH en frais de gaz pour s'assurer l'ordre des transactions. L'attaquant n'a récupéré qu'environ 67 WETH (soit ~129 000 $) — une perte nette de plus de 74 % du butin .

Comment fonctionne l'attaque sandwich MEV

Une attaque sandwich est une forme d'exploitation de la valeur extractible maximale (MEV) qui repose sur l'ordre des transactions dans un mempool public. Voici comment le bot a procédé :

1. Surveillance du mempool : Les bots MEV scrutent en continu le mempool public à la recherche de transactions d'échange importantes avec une tolérance au glissement trop large.
2. Front-running : Le bot repère la transaction du pirate (achat d'ETH avec des USDC) et soumet immédiatement son propre ordre d'achat d'ETH, avant celle du pirate.
3. La victime passe au milieu : La transaction du pirate s'exécute au prix désormais plus élevé, recevant moins d'ETH pour la même quantité d'USDC.
4. Back-running : Le bot revend ses ETH juste après la transaction du pirate, profitant de la différence de prix.

Dans ce cas précis, le pirate a utilisé Uniswap V4 sans définir de seuil de glissement, laissant au bot une marge de manœuvre quasi illimitée pour manipuler le prix d'exécution sur l'ensemble du lot de transactions .

Ce que cet incident révèle sur la sécurité de la DeFi

• Les bots MEV sont des opportunistes sans parti pris. Ils ne font pas la différence entre un trader légitime et un criminel. Toute transaction visible dans le mempool public avec un slippage mal configuré est une cible, quel que soit son expéditeur .
• La protection contre le glissement est indispensable. Le pirate a effectué l'échange sans limite de glissement, permettant au bot de manipuler le prix d'exécution sur plusieurs blocs. Un simple plafond de slippage aurait évité la majeure partie de la perte .
• La transparence de la DeFi est une arme à double tranchant. Le même mempool ouvert qui rend le trading sur DEX accessible à tous permet aussi aux bots de passer devant et de « prendre en sandwich » les transactions importantes et mal configurées .
• Le phishing reste le vecteur d'attaque le plus courant. Le vol initial reposait sur un portefeuille compromis, et non sur une faille du protocole. La sécurité côté utilisateur — approvals, signatures, hygiène du portefeuille — reste le maillon faible .

Leçons clés pour les utilisateurs

1. Définissez toujours une tolérance de glissement (slippage) serrée — en général 0,5 % à 1 % pour les échanges importants sur des paires liquides. N'utilisez jamais le mode « automatique » ou un slippage infini .
2. Utilisez des points d'accès RPC protégés contre le MEV ou des services de mempool privés (par exemple Flashbots Protect, BloxRoute) pour éviter que vos transactions ne soient visibles dans le mempool public .
3. Révoquez régulièrement les approvals de jetons inutilisées. La victime avait donné une signature de phishing qui a permis au pirate de vider directement ses USDC .
4. Testez d'abord les échanges importants avec de petites sommes — surtout lorsque vous prenez le contrôle de fonds provenant d'une source suspecte.
5. Comprenez que la transparence de la blockchain peut se retourner contre vous — posséder les clés privées ne garantit pas une exécution sûre si la transaction est visible publiquement et mal paramétrée .

Cet incident est un rappel cinglant que dans la DeFi, la sophistication technique compte à chaque étape : même les criminels peuvent perdre face à des adversaires mieux automatisés lorsqu'ils ignorent les bonnes pratiques de base en matière de transactions.