Le protocole Core d'Allbridge, un pont cross-chain, a été mis en pause. Le projet a subi une attaque par flash loan sur son pool de liquidité de stablecoin sur Solana, entraînant une perte d'environ 1,65 million de dollars. L'équipe du projet a déclaré avoir désactivé provisoirement le protocole et lancé une enquête, tout en demandant aux fournisseurs de liquidité des pools affectés de retirer leurs fonds dans les plus brefs délais.
L'attaque a eu lieu sur le pool de stablecoins Solana
Allbridge Core utilise des piscines de liquidité de stablecoins natifs pour effectuer des échanges interchaînes, prenant en charge des actifs tels que USDC et USDT, sans dépendre de jetons encapsulés. Selon les informations divulguées par l'équipe du projet et des organismes de sécurité chaines, l'attaquant a d'abord lancé un flash loan d'environ 1,12 million de dollars sur le protocole de prêt Solana Kamino, puis a effectué une série d'échanges rapides de stablecoins pour déformer les prix dans la piscine.
Après que le prix ait été déformé, l'attaquant a échangé une importante quantité d'USDC à faible coût. CertiK a indiqué que l'attaquant avait initialement échangé plusieurs milliers de dollars d'USDT contre environ 2,24 millions de dollars d'USDC, puis transféré les fonds de Solana vers une adresse Ethereum, avant de continuer à les disperser.
Le projet exige le retrait des LP
Allbridge indique qu'après le déséquilibre du pool, une fenêtre d'arbitrage positif a brièvement apparu sur le marché, permettant à certains traders d'acheter des actifs mal évalués. Le projet a appelé les traders ayant profité de cette fenêtre à restituer les fonds à une adresse désignée, affirmant que ces fonds seraient directement utilisés pour compenser les fournisseurs de liquidité affectés.
Actuellement, Allbridge indique qu'elle prépare une description plus détaillée de l'événement et un rapport d'analyse post-incident. L'équipe a également déclaré qu'elle tente de redémarrer Core sans dépendre des pools de liquidité, et qu'aucune menace supplémentaire ne pèse sur la liquidité actuelle des utilisateurs.
Ceci est le deuxième événement de ce type.
Ce n'est pas la première fois qu'Allbridge subit une telle attaque. En avril 2023, le pool de fonds du projet sur la BNB Chain avait déjà subi une perte d'environ 573 000 dollars en raison d'une vulnérabilité similaire liée aux flash loans. À l'époque, l'équipe du projet avait indiqué avoir récupéré la majorité des fonds et avoir ajusté le calcul de la liquidité et des retraits.
Les ponts interchaînes et leurs pools de liquidité associés restent des zones à haut risque pour les attaques DeFi. Selon les rapports, les pertes causées par les attaques DeFi au cours des cinq premiers mois de 2026 ont déjà dépassé 840 millions de dollars. Le mois dernier, un pont interchaîne entre Axelar et Secret Network a subi une perte d'environ 4,67 millions de dollars en raison d'une vulnérabilité d'« émission infinie » dans le contrat de jeton.
Allbridge reste actuellement en pause. Le montant final qui pourra être récupéré dépendra de la traçabilité des fonds après la chaîne croisée et de la volonté des arbitragistes concernés de rembourser les bénéfices réalisés.