SlowMist : Exploitation du NEM vide 822 000 $ tandis que l'attaquant manipule les réserves du pool de liquidité
La société de sécurité blockchain SlowMist a signalé un exploit de 821 920 jetons NEM le 22 octobre 2026, impliquant une vulnérabilité dans le contrat intelligent NemTokenV2 et un pool de liquidité USDT/NEM sur PancakeSwap. L'attaquant aurait manipulé la comptabilisation des jetons et les réserves de liquidité à travers 42 opérations répétées, créant un prix d'échange artificiellement élevé avant d'extraire des USDT. L'incident met en lumière des faiblesses de sécurité dans les mécanismes de jetons personnalisés interagissant avec des échanges décentralisés. Bien que les pertes signalées soient importantes, l'impact financier final de l'attaque, son statut de récupération et son lien avec la blockchain NEM originale nécessitent une distinction soigneuse.
SlowMist signale une exploitation de 822 000 $ en jetons NEM sur PancakeSwap
La divulgation de sécurité du 22 octobre a identifié une vulnérabilité de comptabilisation de règlement dans NemTokenV2 qui permettait à un attaquant de manipuler les réserves du pool de liquidité sans effectuer d'échanges de jetons correspondants. L'attaque ciblait la paire de trading USDT/NEM sur PancakeSwap, où des soldes de réserves déformés ont affecté le prix de change coté du jeton. SlowMist a estimé les pertes résultantes à environ 821 920 $, ce qui fait de cet incident un autre exemple de la façon dont les faiblesses dans la logique des contrats spécifiques aux jetons peuvent exposer la liquidité de la finance décentralisée (DeFi).
Alerte sécurité de SlowMist du 22 octobre et perte estimée à 821 920 $
SlowMist a identifié NemTokenV2 comme le contrat intelligent affecté et décrit une séquence dans laquelle l'attaquant a exploité à plusieurs reprises les incohérences entre les activités de vente enregistrées et le règlement réel sur la plateforme d'échange. L'attaque signalée a impliqué 42 répétitions de transferts de jetons et d'opérations de gestion de liquidité qui ont progressivement modifié les soldes de réserve du pool. L'attaquant a ensuite utilisé le déséquilibre de prix résultant pour échanger les jetons NEM restants contre des USDT à un taux artificiellement élevé. Chaque opération répétée a contribué aux conditions qui ont rendu l'échange final financièrement avantageux.
La perte estimée de 821 920 $ représente l'impact financier signalé par SlowMist, et non un calcul indépendamment confirmé du bénéfice net de l'attaquant. Bien que les premières découvertes de sécurité aient identifié les fonctions de contrat concernées et la paire de trading affectée, une analyse financière complète transaction par transaction n'a pas été établie de manière indépendante. Le montant finalement conservé par l'attaquant pourrait différer des pertes estimées du pool une fois les frais de transaction, le capital initial et tout mouvement ultérieur d'actifs pris en compte. Tout retour confirmé des actifs extraits affecterait également l'impact financier restant.
Vulnérabilité de règlement NemTokenV2 et exposition à la liquidité de PancakeSwap
La vulnérabilité signalée concernait la manière dont NemTokenV2 traitait les jetons transférés dans son pool de liquidité. La logique de son contrat comptabilisait certains transferts entrants comme des activités de vente sans vérifier adéquatement si un échange associé avait été réglé. Cela a créé une incohérence entre la comptabilité interne du jeton et l'activité de trading réelle se déroulant dans le pool. Pour les mécanismes de comptabilité liés au volume des ventes, cette distinction peut déterminer quand les opérations automatiques de liquidité sont activées.
L'incident démontre également pourquoi les mécanismes spécifiques aux jetons nécessitent une intégration soigneuse avec liquidity pools. Ces pools reposent sur des soldes d'actifs précis pour soutenir le trading décentralisé, mais les fonctions personnalisées des jetons peuvent introduire des risques supplémentaires lorsque leurs hypothèses comptables ne correspondent pas aux transactions effectuées. La faiblesse signalée concernait NemTokenV2 et non une compromission démontrée des contrats d'échange standards de PancakeSwap. Par conséquent, cet incident ne doit pas être interprété comme une preuve que chaque paire de trading de PancakeSwap a été affectée.
Comment la vulnérabilité NemTokenV2 a permis 42 manipulations de pools de liquidité
L'exploitation de NemTokenV2 reposait sur un déséquilibre entre les ventes de jetons enregistrées et le règlement réel sur la plateforme d'échange. Le contrat concerné permettait apparemment des transferts vers le pool de liquidité pour influencer sa comptabilité liée à la vente, même en l'absence de swap correspondant confirmé. L'attaquant a utilisé cette faille conjointement à des opérations répétées sur le contrat pour modifier les soldes de réserve et créer des conditions de trading favorables. Comprendre le mécanisme exige de distinguer le comportement ordinaire automated market maker de la logique du jeton vulnérable qui interagit avec celui-ci.
Défaut de vérification de règlement dans la comptabilité des jetons de NemTokenV2
Dans une plateforme d'échange décentralisée, transférer des jetons vers un pool de liquidité ne signifie pas automatiquement qu'une vente a été effectuée. Un échange valide implique que le contrat d'échange traite la transaction et comptabilise les actifs concernés. NemTokenV2 n'aurait pas fait cette distinction lors de l'enregistrement de certains transferts comme des activités de vente. En conséquence, sa comptabilité interne pourrait refléter des activités qui n'ont pas produit d'échange effectif correspondant. Une vérification appropriée du règlement exigerait que le contrat distingue les transferts entrants des échanges réellement exécutés.
L'attaquant a exploité cette incohérence à travers des opérations impliquant skim() et flushLpSellRecycle(). Dans PancakeSwap V2, skim() transfère les soldes de tokens dépassant les réserves enregistrées d'une paire, tandis que sync() met à jour ces réserves enregistrées pour les faire correspondre aux soldes réels. Ces fonctions ont des objectifs différents et ne sont pas intrinsèquement vulnérables. L'attaque signalée dépendait de la manière dont la logique de recyclage personnalisée du token affecté interagissait avec le pool, permettant une manipulation répétée des réserves. Cette distinction est importante car l'appel de skim() seul ne réduit pas habituellement les réserves enregistrées d'un pool de liquidité.
Réductions répétées des réserves et inflation artificielle du prix du NEM
SlowMist a rapporté que l'attaquant a répété la séquence de manipulation 42 fois, en combinant des transferts de jetons avec des opérations skim() et flushLpSellRecycle(). La séquence aurait réduit les réserves de NEM du pool par rapport à ses holdings en USDT. Dans un pool de liquidité à produit constant, les quantités relatives de deux actifs influencent le taux de change affiché ; réduire les réserves d'un actif par rapport à l'autre peut augmenter son prix implicite. L'attaquant a utilisé ce déséquilibre pour vendre ses holdings restants de NEM contre des USDT dans des conditions de prix déformées. Les 42 répétitions rapportées ne doivent pas être automatiquement considérées comme 42 transactions distinctes sur la blockchain, car une seule transaction peut exécuter plusieurs appels de contrat. Les changements exacts des réserves et les montants individuels des transactions nécessiteraient une reconstruction complète sur chaîne.
Extraction USDT, distorsion des prix et la distinction entre le jeton NEM et XEM
Les conséquences financières de l'exploitation ont dépassé la manipulation des réserves signalée. En modifiant le solde des actifs au sein du pool de trading affecté, l'attaquant a créé un taux de change pouvant différer considérablement des prix soutenus par une activité de marché ordinaire. L'extraction finale de USDT reflétait ce déséquilibre de prix local, et non une croissance vérifiée indépendamment de la valeur marchande globale du jeton. Identifier l'actif affecté est tout aussi important, car le jeton mentionné dans le rapport de sécurité n'a pas été définitivement lié au XEM natif.
Comment l'attaquant a extrait de l'USDT du pool PancakeSwap
La dernière étape a consisté à échanger les jetons NEM restants de l'attaquant après que la structure de réserve du pool ait été modifiée. Avec moins de jetons NEM disponibles par rapport à l'USDT, le pool offrait un taux d'échange implicite plus élevé pour le NEM. L'attaquant aurait profité de ce déséquilibre pour recevoir de l'USDT à un prix ne reflétant pas les conditions normales de négociation. Cette activité a contribué à la perte estimée à environ 821 920 $ mentionnée dans les conclusions de sécurité de SlowMist.
Déterminer les bénéfices réels de l'attaquant nécessite plus que le chiffre de perte rapporté. Les enquêteurs devraient examiner les registres de transactions vérifiés, les soldes initiaux d'actifs, les transferts de USDT, les coûts d'exécution et tout actif restant. Ils devraient également distinguer la valeur retirée de la piscine de liquidité du montant finalement contrôlé par l'attaquant. Examiner ces mouvements de manière chronologique aiderait à séparer les transferts temporaires des actifs que l'attaquant a finalement conservés. Sans ces informations, décrire l'ensemble de la perte estimée comme un bénéfice réalisé exagérerait ce que les preuves disponibles établissent.
Inflation des prix du pool de liquidité par rapport à la valeur réelle du marché NEM
Le prix d'un jeton au sein d'une piscine de liquidité décentralisée dépend des actifs disponibles dans cette paire de trading spécifique. Lorsque les soldes de réserve changent brusquement, le taux de change affiché peut diverger des prix disponibles ailleurs. La manipulation rapportée de NemTokenV2 a créé une telle distorsion au sein de la piscine USDT/NEM affectée, mais cela ne permet pas d'établir une augmentation comparable de la valorisation du jeton sur le marché plus large. Une comparaison fiable à l'échelle du marché nécessiterait les prix effectifs provenant d'autres plateformes d'échange pendant la même période.
La profondeur de liquidité peut intensifier ces effets. Un pool contenant relativement peu d'actifs disponibles subit généralement un impact prix plus important suite à des changements de réserve qu'un marché plus profond gérant des transactions comparables. Cela signifie qu'un prix de pool fortement augmenté ne représente pas nécessairement un taux auquel des traders ordinaires pourraient exécuter de grandes ventes. Aucune donnée de prix vérifiée indépendamment à l'échelle du marché n'a établi une augmentation correspondante sur d'autres plateformes de trading, donc cet incident ne doit pas être présenté comme un rallye plus vaste du marché NEM.
NemTokenV2 et XEM natif ne sont pas automatiquement le même actif
La distinction entre NemTokenV2 et XEM, la cryptomonnaie native de la blockchain NEM originale, est essentielle. La documentation officielle de NEM identifie XEM comme la monnaie numérique native du réseau. Les rapports sur l'événement du 22 octobre décrivent toutefois un contrat intelligent nommé NemTokenV2 associé à une paire de trading sur PancakeSwap. Un nom de projet ou un ticker partagé ne suffit pas à établir que deux actifs sont identiques ou officiellement liés.
Confirmer la relation nécessiterait d'examiner l'adresse du contrat vérifié du token affecté, les documents d'émission et les déclarations des opérateurs du projet concerné. L'historique de déploiement du contrat pourrait également aider à établir son origine et toute connexion documentée avec le projet NEM. Jusqu'à ce que cette connexion soit établie, les pertes signalées doivent être attribuées au contrat affecté et à la piscine de liquidité, et non à la blockchain NEM d'origine ou à tous les détenteurs de XEM. Cette distinction aide les investisseurs à éviter de confondre une exploitation spécifique à un token avec une défaillance de sécurité affectant l'ensemble du réseau blockchain.
Conséquences de l'exploitation de NEM : risques de sécurité DeFi, état de la récupération et perspectives
Les conséquences de l'exploitation du jeton NEM soulèvent des préoccupations concernant la récupération des fonds, l'exposition des fournisseurs de liquidité et la sécurité des mécanismes de contrat intelligent personnalisés. Suite à la divulgation de SlowMist du 22 octobre 2026, les questions les plus importantes non résolues portent sur l'état de la remédiation du contrat affecté, le mouvement des actifs extraits et la fiabilité de la liquidité commerciale restante. Bien que les premiers rapports établissent la nature de la vulnérabilité présumée, ils ne fournissent pas un compte rendu complet des efforts de récupération ultérieurs ou des dispositions de compensation.
État de la récupération des fonds et de la correction de NemTokenV2
Au 23 octobre 2026, les rapports d'incident examinés n'ont pas établi de montant vérifié de fonds récupérés, de plan de compensation confirmé ou de correctif de sécurité achevé pour NemTokenV2. SlowMist aurait publié les adresses associées à l'attaquant, au contrat d'exploitation et au token affecté, fournissant des points de départ potentiels pour une investigation blockchain supplémentaire. Toutefois, l'identification de ces adresses ne prouve pas que les fonds ont été gelés ou restitués. Toute récupération confirmée nécessiterait des transactions sur chaîne corroborantes ou des déclarations fiables des parties responsables. L'absence d'informations vérifiées sur la récupération dans les sources examinées ne doit pas être interprétée comme une preuve qu'aucune activité de récupération n'a eu lieu.
Risques du fournisseur de liquidité DeFi et implications pour le trading
Les fournisseurs de liquidité et les traders font face à des risques différents lorsque les réserves d'un pool deviennent déformées. Les fournisseurs peuvent subir des changements dans la valeur et la composition de leurs positions de liquidité, tandis que les traders peuvent rencontrer un slippage important, une profondeur de trading limitée et des cotation de plateforme d'échange peu fiables. Les pertes exactes subies par les participants individuels n'ont pas été quantifiées de manière indépendante. Toute personne évaluant son exposition doit vérifier l'adresse du contrat affecté et examiner les transactions pertinentes du wallet, plutôt que de s'appuyer uniquement sur le nom du jeton. Il existe également des preuves insuffisantes pour relier cet incident à une baisse ou à une reprise plus large du prix de XEM, ce qui rend les conclusions à l'échelle du marché prématurées.
Améliorations de la sécurité des contrats intelligents et investigation supplémentaire
La vulnérabilité signalée souligne l'importance de valider les échanges terminés avant de mettre à jour les enregistrements de vente spécifiques aux jetons. Les développeurs examinant des mécanismes similaires doivent analyser comment la comptabilisation des transferts interagit avec les fonctions de gestion de la liquidité, particulièrement lorsque des appels répétés peuvent déclencher des modifications des réserves. Des audits de contrats intelligents indépendants, des simulations de transactions et des tests d'opérations répétées peuvent aider à identifier des faiblesses que les vérifications de transactions isolées négligent. Plus généralement, comprendre comment les exploitations de contrats intelligents surviennent peut aider à expliquer pourquoi la logique de comptabilisation spécifique aux jetons nécessite une attention particulière, même lorsque les fonctions d'échange sous-jacentes fonctionnent comme prévu. Pour NemTokenV2, une correction technique confirmée et une mise en œuvre revue indépendamment fourniraient une preuve plus solide de la correction qu'une assurance non étayée.
Perspective future de la liquidité du token NEM et de la confiance des investisseurs
Les prochaines évolutions importantes seraient une réponse technique documentée, un mouvement ou une récupération vérifiés des USDT extraits, ainsi que des informations fiables sur l'état du pool de trading concerné. Une correction de contrat confirmée ou une enquête transparente pourraient aider les participants au marché à évaluer si la vulnérabilité identifiée a été corrigée. À l'inverse, des faiblesses comptables non résolues et une liquidité instable pourraient compliquer le trading et la découverte des prix. Il s'agit de scénarios potentiels plutôt que de prévisions établies, et aucun calendrier de récupération vérifié ni objectif de prix de token n'a été identifié. L'importance à plus long terme de cet incident dépendra de la preuve d'une remédiation efficace et d'un reporting transparent, et non des prédictions spéculatives du marché.
Conclusion
L'exploitation du jeton NEM du 22 octobre 2026 démontre comment les faiblesses dans la comptabilité personnalisée des contrats intelligents peuvent exposer la liquidité des échanges décentralisés à des pertes financières. SlowMist a estimé les dommages à environ 821 920 $, l'attaque signalée impliquant 42 opérations répétées qui ont manipulé les réserves avant l'extraction de l'USDT.
Les questions les plus importantes encore sans réponse portent sur l'impact financier final, les fonds récupérés, la sécurité du contrat affecté et son lien avec le XEM natif. Jusqu'à ce que ces détails soient vérifiés indépendamment, cet incident doit être compris comme une exploitation signalée du pool de liquidité NemTokenV2, et non comme une preuve d'une compromission affectant la blockchain NEM d'origine. Pour les participants DeFi, cela renforce l'importance de la vérification des règlements, de l'identification fiable des contrats et du signalement transparent de la sécurité.
FAQ
Comment les utilisateurs peuvent-ils vérifier le contrat NemTokenV2 affecté ?
Les utilisateurs peuvent comparer l'adresse du contrat publiée dans l'alerte de sécurité de SlowMist avec les enregistrements de l'Explorateur blockchain, y compris le code source vérifié, les transferts de jetons et les interactions avec le contrat. Vérifier l'adresse exacte est plus fiable que d'utiliser uniquement le nom du jeton, car des projets de cryptomonnaies non liés peuvent utiliser des noms ou des symboles ticker similaires.
Comment les traders peuvent-ils vérifier si leurs wallets ont interagi avec le pool de liquidité affecté ?
Les traders peuvent consulter l'historique des transactions de leur wallet sur l'Explorateur blockchain pertinent et identifier les échanges précédents, les dépôts de liquidité ou les retraits impliquant la paire USDT/NEM affectée. Les adresses de contrat et les enregistrements de transaction peuvent aider à déterminer si un wallet a interagi avec ce marché. Toutefois, une interaction précédente ne constitue pas automatiquement une perte financière.
L'exploitation du jeton NEM a-t-elle compromis la stablecoin USDT elle-même ?
Il n'existe aucune preuve vérifiée que le contrat intelligent sous-jacent à USDT ait été compromis. L'événement signalé impliquait l'extraction d'USDT via une manipulation des prix dans un pool de liquidité spécifique de PancakeSwap. Une vulnérabilité dans un contrat de token ou une paire de trading ne constitue pas une défaillance de sécurité affectant USDT sur d'autres réseaux ou plateformes d'échange.
Une autorisation de jeton signifie-t-elle qu'un wallet a été affecté par l'exploit ?
L'autorisation de jeton accorde à un contrat intelligent la permission de transférer un montant spécifique de cryptomonnaie, mais une telle autorisation ne signifie pas que des fonds ont été déplacés ou perdus. Les utilisateurs peuvent consulter les autorisations de dépense existantes et révoquer les autorisations dont ils n'ont plus besoin. La révocation de l'autorisation ne permet pas de récupérer les actifs déjà retirés d'une piscine de liquidité.
Les traders peuvent-ils vendre des jetons à un prix de piscine de liquidité artificiellement gonflé ?
Pas nécessairement. Un taux de change affiché peut différer du prix d'exécution réel, car chaque trade modifie les soldes des actifs du pool et peut impliquer un slippage et des frais. Les ventes importantes peuvent générer nettement moins que la cotation initiale, particulièrement dans les pools à liquidité limitée. Un prix artificiellement surévalué ne doit pas être considéré comme une indication fiable de la valeur marchande réalisable.
Les 42 manipulations signalées représentent-elles 42 transactions blockchain distinctes ?
Pas nécessairement. Le chiffre rapporté par SlowMist fait référence à 42 répétitions de la séquence de manipulation, et non à un nombre indépendamment vérifié de transactions distinctes. Une seule transaction sur la blockchain peut exécuter plusieurs appels de contrat. Confirmer le nombre de transactions nécessite d'examiner les hachages pertinents et les traces d'exécution.
Avertissement : Ces informations générales sur le marché, provenant éventuellement de sources tierces, commerciales ou sponsorisées, sont fournies à titre de référence et éducatif uniquement et ne constituent ni un conseil financier ni un conseil en investissement, ni une offre, une sollicitation ou une garantie. Nous déclinons toute responsabilité quant à son exactitude, sa complétude, sa fiabilité et tout préjudice en résultant. Les investissements/le trading comportent des risques ; les performances passées ne garantissent pas les résultats futurs. Les utilisateurs doivent effectuer leurs propres recherches, juger avec prudence et assumer pleine responsabilité. Pour plus de détails, veuillez consulter les Conditions d'utilisation et le Relevé de risques de KuCoin.
Avertissement : Pour votre confort, cette page a été traduite à l'aide de la technologie IA. Pour obtenir les informations à la source, consultez la version anglaise originale.