- Un multisig 1-sur-3 compromis a permis aux attaquants de créer 13,5 M $ d'EURR et d'USDR avant de les échanger contre de l'ETH.
- EURR est tombé à environ 0,85 $ et USDR à environ 0,40 $ alors que des tokens non garantis ont inondé les marchés et que la liquidité s'est effondrée.
- Blockaid a attribué la violation à un échec de gouvernance, soulignant les risques liés à une gestion faible des clés dans les systèmes de stablecoin.
Les stablecoins StablR EURR et USDR ont perdu leur parité après une exploitation impliquant un wallet multisig compromis et une création non autorisée de 13,5 millions de dollars. L'événement, rapporté le week-end, a vu des jetons émis au-delà de leur couverture et rapidement vendus sur des échanges décentralisés. Selon l'enquêteur onchain ZachXBT, l'attaquant a ensuite converti de grandes parties en ETH tandis que le système restait actif.
Exploitation multisignature déclenche une abus de création
La société de sécurité Blockaid a indiqué que la violation provenait d'une configuration multisig 1 sur 3 contrôlant le contrat de frappe de StablR. L'attaquant a compromis un signataire et a obtenu le contrôle administratif.
Après l'accès, l'attaquant a remplacé les propriétaires existants et a émis 8,35 millions d'USDR et 4,5 millions d'EURR. Cela a créé environ 13,5 millions de dollars en jetons non garantis durant les premières heures de l'exploitation.
Selon Blockaid, environ 10,4 millions de dollars ont été échangés contre ETH sur des échanges décentralisés. Toutefois, le slippage a réduit les gains réalisés initiaux à environ 2,8 millions de dollars.
Notamment, l'attaquant a également utilisé des droits administratifs pour mettre sur liste noire et brûler des jetons. Les enregistrements onchain ont montré qu'environ 2,7 millions d'EURR ont été retirés d'un wallet actif dans les flux de rachat normaux.
EURR et USDR rompent la stabilité de leur parité
EURR et USDR ont tous deux perdu leur parité peu après le début de l'exploit. EURR est tombé à environ 0,85 $, tandis qu'USDR est descendu jusqu'à 0,40 $ pendant le trading.
Selon les données de CoinGecko, EURR a échangé à proximité de 0,85 $ après la fenêtre d'attaque. USDR a légèrement récupéré par la suite, mais est resté nettement en dessous de la parité.
Pendant ce temps, ZachXBT a signalé l'incident pendant l'activité en cours et a suivi les mouvements de wallet financés via le protocole de transfert interchaînes de Circle. Il a également signalé des gel partiel des fonds pendant la fenêtre d'exploitation.
StablR a confirmé l'incident quelques heures après que l'activité sur la chaîne ait ralenti. L'entreprise a déclaré qu'elle travaillait à contenir l'exploitation et à évaluer l'impact sur le système.
Risques de gouvernance et contexte institutionnel
Blockaid a attribué la violation à une défaillance de gouvernance et de gestion des clés, et non à une faille dans un contrat intelligent. Le seuil de signature 1 sur 3 est devenu le point central de l'analyse de sécurité.
StablR était précédemment soutenue par Tether et Kraken, se positionnant sur les marchés européens réglementés de stablecoins. L'émetteur opère sous une licence de l'autorité financière de Malte.
Selon les divulgations antérieures, EURR et USDR ont traité plus de 3 milliards d'euros de volume de transactions au début de 2025. Les jetons ont également été listés sur plus de 50 plateformes d'échange, avec plus de 150 paires de trading.
L'incident s'inscrit dans un schéma plus large d'attaques de 2026 impliquant un accès privilégié et des défaillances de gouvernance au sein des protocoles crypto.