Raydium corrige une exploitation de 1,34 M$ dans le code AMM V3 obsolète

Un autre jour, un autre exploit.

Le 10 juin, la plateforme d'échange décentralisée (DEX) basée sur Solana, Raydium, a découvert une faille de codage dans son programme AMM V3 hérité. Cette vulnérabilité a permis à un attaquant de vider des fonds de plusieurs pools de liquidité obsolètes.

Pour rappel, l'AMM V3 était un programme que Raydium a cessé d'utiliser en 2021 et qui n'était plus disponible via le SDK, l'interface utilisateur ou la dapp actuelle. En exploitant une faille, un attaquant a retiré environ 1,34 million de dollars en cryptomonnaie de cinq pools.

Selon les estimations préliminaires, l'attaquant a vidé environ 150 177 Raydium [RAY], 5 603 Solana [SOL] et près de 893 700 USDC des pools affectés.

Cela incluait les paires RAY-SOL, USDC-RAY et SRM-RAY, ainsi que Sollet USDT-RAY et Sollet ETH-RAY. PeckShield a également identifié sept Ethereum [ETH] déposés sur FixedFloat et 810 ETH sur Tornado Cash.

Pourtant, pour rassurer la communauté, Raydium a pris X et noté,

Aucun utilisateur actuel de Raydium n'est concerné par cette exploitation, ni n'aurait pu interagir avec ces pools via l'interface depuis leur retrait.

Raydium affirme que la faille a été causée par la validation insuffisante des jetons LP (fournisseur de liquidité) par le programme hérité.

Cela dit, l'attaquant a pu produire un jeton LP falsifié car le contrat ne validait pas suffisamment les émissions de jetons LP. En conséquence, l'exploitant a retiré des fonds des pools affectés et contourné les vérifications de propriété proportionnelle.

Le problème, a souligné Raydium, était limité à la base de code AMM V3 obsolète et n'était pas dû à une compromission de l'autorité d'administration, de la clé privée ou d'une faille de sécurité au niveau du protocole.

Les programmes mainnet actuels du protocole utilisent désormais une architecture différente qui les protège contre ce type d'attaque en utilisant des mécanismes de fourniture virtuelle et en vérifiant les émissions de LP.

Par conséquent, ni les pools de liquidité actuels ni les utilisateurs actifs de Raydium n'ont été affectés. Le protocole a également déclaré que toutes les pertes résultant de l'exploitation seront entièrement remboursées via le trésor de Raydium.

En parallèle, un examen de sécurité plus approfondi de tous les programmes mainnet est également en cours.

Intéressant, malgré l'exploit, le cours de RAY s'est établi à 0,5815 $ après une hausse de 2,08 % par rapport à la journée précédente. Toutefois, la baisse de 8 % sur la semaine et de 30 % sur le mois continuent de susciter des inquiétudes.

Cela a coïncidé avec une autre exploitation dans laquelle l'attaquant a pris le contrôle des autorisations administratives du pont, vidant 141 millions de jetons H sur Ethereum.

De plus, des chercheurs en sécurité ont découvert qu’un autre attaquant a retiré environ 1,5 million de dollars en WETH d’un pool de liquidité Ethereum Balancer via une attaque de prise de contrôle de gouvernance.

Au total, le montant total d'argent volé en 2026 a atteint 795,3 millions de dollars, avril ayant enregistré le plus grand nombre de violations.

• L'auteur des faits a vidé environ 150 177 RAY, 5 603 SOL et près de 893 700 USDC des pools affectés.
• Le prix de RAY est resté inchangé, en hausse de plus de 2 % au cours des dernières 24 heures.