Exploit d'un coffre de Solv Protocol détourne $2.7M en SolvBTC

Solv Protocol enquête sur un exploit qui a siphonné environ $2.7 million d'un de ses coffres de rendement structuré, s'ajoutant à une liste croissante d'incidents de sécurité dans le secteur de la finance décentralisée cette année.

Dans une mise à jour jeudi sur X, le projet a confirmé qu'environ 38.0474 SolvBTC a été retiré d'un de ses coffres Bitcoin Reserve Offering. 

La plateforme a indiqué qu'elle couvrirait intégralement les pertes, précisant que moins de 10 utilisateurs ont été affectés par la faille.

Solv Protocol gère une réserve Bitcoin on-chain conçue pour transformer le BTC en actif productif. 

Les utilisateurs peuvent déposer des Bitcoins en échange de SolvBTC, un actif enveloppé qui permet d'utiliser les avoirs sous-jacents pour des stratégies de prêt, d'emprunt et de staking sur d'autres blockchains. 

Le protocole propose également des produits de rendement structuré appelés Bitcoin Reserve Offerings, ou BRO, qui regroupent l'exposition au BTC dans des stratégies d'investissement basées sur des coffres.

Selon le site du projet, Solv détient environ 24,226 BTC, valorisés à plus de $1.7 billion, et se décrit comme la plus grande réserve Bitcoin on-chain. 

Les données de DefiLlama indiquent que plus de $508 million sont actuellement bloqués dans des produits liés à SolvBTC.

Bien que le protocole n'ait pas publié d'analyse technique complète de la faille, des chercheurs en sécurité ont indiqué une vulnérabilité dans l'un des smart contracts de Solv qui a permis à l'attaquant de frapper un nombre excessif de tokens.

Un bot de surveillance automatisé opéré par la société de sécurité Decurity a indiqué que l'exploitant a déclenché une faille de double minting dans un contrat BitcoinReserveOffering 22 fois. 

Grâce aux transactions répétées, l'attaquant a gonflé 135 BRO en environ 567 million BRO tokens puis a échangé la position contre environ 38 SolvBTC.

Le chercheur pseudonyme Pyro a qualifié l'incident d'attaque de réentrance, une technique dans laquelle des appels répétés à un contrat exploitent des faiblesses dans la façon dont les soldes sont mis à jour au sein des smart contracts. 

Des variantes de cette attaque ont été responsables de plusieurs failles DeFi de haut profil au cours des dernières années.

Solv a déclaré qu'elle travaille maintenant avec plusieurs sociétés de sécurité blockchain, dont Hypernative Labs, SlowMist et CertiK, pour enquêter sur l'incident et renforcer les contrats affectés. 

« Tous les autres coffres et fonds utilisateurs restent sécurisés et non affectés. Nous enquêtons activement avec des partenaires sécurité de premier plan et avons pris des mesures pour prévenir toute récidive », a ajouté le protocole.

Dans une tentative de récupérer les actifs volés, Solv a proposé à l'exploitant une prime white hat de 10% si les fonds sont rendus. 

Le protocole a également publié une adresse de portefeuille Ethereum dans son annonce pour faciliter la communication avec l'attaquant, bien qu'aucune réponse n'ait été enregistrée au moment de la publication.

La DeFi demeure vulnérable

La sécurité de la DeFi demeure une préoccupation après une année 2025 difficile, au cours de laquelle plus de $3.4 billion ont été volés dans tout le secteur.

Et si les premiers mois de 2026 n'ont pas connu la même ampleur de méga-hacks, une série de brèches plus petites mais ciblées a maintenu les préoccupations de sécurité au premier plan.

Sur janvier et février, les secteurs crypto et DeFi ont enregistré environ $112.5 million de pertes au cours de 31 incidents.

Janvier a concentré la majeure partie des dégâts, avec $86 million volés sur plusieurs projets.

Plus tôt cette semaine, le marché sDOLA LlamaLend de Curve Finance a été exploité via une vulnérabilité liée à la configuration de son oracle de prix, permettant à l'attaquant de gagner environ $240,000 grâce à des liquidations provoquées par des prêts flash.

Début février, le protocole de liquidité cross-chain CrossCurve a perdu environ $3 million après que des attaquants ont exploité une faille permettant à des messages cross-chain falsifiés de contourner la validation des passerelles et de débloquer des actifs du contrat PortalV2.

Bien que la valeur globale des pertes ait diminué par rapport aux brèches à grande échelle observées début 2025, les analystes en sécurité estiment qu'un petit nombre d'incidents à fort impact continuent de façonner l'environnement de risque des plateformes de finance décentralisée.