Trois éléments au cours des 48 dernières heures : un pont cross-chain exploité par réutilisation de l’encodage des messages, une interface DeFi annonçant une fermeture permanente après qu’une exploitation de coffre l’a forcée à cesser ses activités, et deux votes de gouvernance Uniswap en cours qui étendraient le mécanisme de brûlage de frais du protocole à de nouvelles chaînes et versions. Wanchain / Midnight : Du 20 au 21 juillet 2026, le moniteur Phalcon de BlockSec a identifié une exploitation contre le pont Wanchain de Cardano vers la BNB Chain, vidant environ 515,2 millions de jetons NIGHT du trésor du pont, d’une valeur d’environ 10 millions de dollars aux prix en vigueur. L’attaque s’est déroulée en quatre transactions sur une fenêtre de huit minutes. BlockSec a identifié la cause racine comme une faille d’encodage de message signé non injective dans le validateur TreasuryCheck du pont : le contrat Plutus V2 hache 14 champs de remboursement de longueur variable par concaténation brute sans délimiteurs, ce qui permet à différentes combinaisons de champs de produire la même chaîne d’octets et de réutiliser la même signature. L’attaquant a rejoué une transaction BSC légitime autorisant environ 3 110 NIGHT pour extraire environ 203 millions de NIGHT en un seul remboursement du côté Cardano, une inflation d’environ 65 000 fois via une ambiguïté des limites des champs. Les jetons volés ont été acheminés vers des wallets Cardano avant que près de 90 % ne soient liquidés via des échanges sur des DEX Cardano. Wanchain a mis hors ligne le pont. La Fondation Midnight a confirmé que la blockchain Midnight et son protocole principal n’ont pas été compromis. NIGHT est le jeton de gouvernance de Midnight et la source de DUST, la ressource réseau pour les transactions et l’exécution des contrats intelligents. Midnight a lancé son mainnet en mars 2026, et NIGHT reste transférable publiquement, ce qui fait des jetons détenus en custody par le pont une surface d’attaque active indépendante de la posture de sécurité propre à Midnight. SummerFi : Le 20 juillet 2026, https://t.co/SVnV4cvqcc et son entreprise de développement https://t.co/SVnV4cvqcc Labs ont officiellement annoncé la mise en veille de la plateforme après sept ans, citant une exploitation du 6 juillet sur le Lazy Summer Protocol comme cause directe. L’exploitation a manipulé deux coffres USDC sur le mainnet Ethereum dans une seule transaction atomique, extrayant environ 6,04 millions de dollars en surestimant les actifs déclarés et en initiant un retrait surdimensionné contre un flash loan de 65,4 millions de dollars. L’attaque a touché simultanément les dépôts des utilisateurs, le capital détenu par le protocole et les réserves de l’équipe, éliminant la marge opérationnelle nécessaire pour reconstruire. L’interface https://t.co/SVnV4cvqcc et les canaux d’assistance client restent actifs jusqu’au 31 août 2026. Après cette date, la responsabilité des retraits, de la réparation et du fonctionnement continu du protocole est entièrement transférée au DAO Lazy Summer. Aucune date de fermeture n’a été fixée pour le protocole sous-jacent car il fonctionne sous une gouvernance décentralisée distincte. Les coffres Lazy Summer acheminent les dépôts à travers des stratégies de prêt incluant Aave et Morpho ; le vecteur d’attaque spécifique était une faille d’évaluation dans l’un de ces adaptateurs de stratégie qui conservait des chiffres NAV obsolètes. CertiK a attribué l’exploitation à une attaque par flash loan, tandis que SummerFi l’a qualifiée de manipulation NAV, et aucune réconciliation indépendante des deux comptes n’a été publiée. Le TVL pré-exploitation se situait entre 22 et 25 millions de dollars. Uniswap : Deux propositions de gouvernance en ligne ont été ouvertes le 19 juillet 2026, avec un vote ouvert jusqu’au 26 juillet. La proposition 100 activerait les frais du protocole sur des pools Uniswap v4 sélectionnés sur sept chaînes : Ethereum, Arbitrum, Base, BNB Chain, Polygon, Optimism et Robinhood Chain. Les catégories de pools ciblées sont les pools à frais statiques sans hooks, les pools d’enchères continues et les pools avec hook agrégateur. La proposition 99 étendrait les frais des versions v2 et v3 à Robinhood Chain, où les trois versions Uniswap ont été déployées le 1er juillet 2026. Les deux propositions acheminent les frais collectés vers le système TokenJar et Firepit mis en place lors du vote UNIfication de décembre 2025, où les frais s’accumulent et ne peuvent être retirés que lorsque du UNI équivalent est brûlé. Ce lien entre le flux de frais et la réduction d’offre est immuable une fois déployé et ne peut être modifié par une gouvernance ultérieure. Au 19 juillet, chaque proposition comptait environ 2,94 million de UNI en faveur contre un seuil de quorum de 40 millions de UNI, soit environ 7,4 % du seuil requis. Un test de température effectué du 7 au 12 juillet a recueilli 93 % de soutien avec 13,9 million de UNI votant en faveur. Le gap de quorum signifie que le taux de participation, et non l’opinion, est la variable ouverte jusqu’au 26 juillet. Robinhood Chain est une chaîne Arbitrum Orbit, donc l’exécution de la gouvernance sur cette chaîne passe par des tickets réessayables via son Inbox et l’alias L2 du Timelock Uniswap, une dépendance d’acheminement qui doit réussir pour que l’activation des frais soit enregistrée sur la chaîne pour ce déploiement.

Deux plateformes DeFi ont échoué au cours des 48 dernières heures : une compromission du signataire d’oracle sur une plateforme d’échanges perpétuels d’actifs du monde réel, et une exploitation comptable de coffre-fort qui a forcé un protocole de rendement âgé de sept ans à cesser complètement ses activités. Ostium / Arbitrum : Le 15 juillet 2026, un attaquant détenant la clé privée compromise d’un signataire d’oracle a utilisé le forwarder PriceUpKeep enregistré par Ostium pour soumettre des rapports d’oracle autorisés datés de l’avenir contre le coffre-fort d’échanges perpétuels RWA du protocole. Le forwarder, un composant d’automatisation légitime, a accepté les rapports comme valides car la clé du signataire n’avait pas été révoquée. L’attaquant a ouvert et fermé environ 20 trades en boucle dans un seul appel executeBatch, chaque cycle cumulant la marge de près de 1 000 $ à une position finale déclenchant un paiement d’environ 18 millions de $USDC depuis le coffre-fort de liquidité OLP. Blockaid et CertiK ont signalé le retrait, avec des estimations de perte variant entre 18 et 22 millions de dollars, soit environ 28 % de la TVL du coffre-fort avant l’exploitation. Ostium a immédiatement arrêté tous les échanges et a recommandé aux utilisateurs de révoquer les autorisations pour tous les contrats du protocole en attendant l’enquête. Aucun post-mortem n’a été publié et aucune date n’a été donnée pour la reprise des échanges. Le vecteur d’attaque n’était pas le code du contrat intelligent, mais la clé externe de signature autorisant la livraison des données de prix — la même classe d’infrastructure qui a échoué chez Bonzo Lend sur Hedera et chez le Lazy Summer Protocol de https://t.co/SVnV4cvqcc plus tôt ce mois-ci. https://t.co/SVnV4cvqcc Labs : Le 16 juillet, https://t.co/SVnV4cvqcc Labs a publié une annonce de fermeture confirmant que l’entreprise n’avait plus aucun chemin viable à suivre après l’exploitation par flash-loan du Lazy Summer Protocol du 6 juillet. L’attaquant a manipulé la valeur liquidative de deux coffres-forts Ethereum USDC dans une seule transaction atomique en dons de jetons survalués du coffre-fort Silo Varlamore dans des adaptateurs de stratégie qui avaient été limités pour le retrait mais restaient inclus dans les calculs actuels du prix des parts. Un dépôt au prix réel et un rachat contre des actifs liquides au prix gonflé ont extrait environ 6,04 millions de dollars : 5,64 millions depuis le coffre-fort USDC à faible risque et environ 400 000 $ depuis le coffre-fort à risque plus élevé. L’équipe a déclaré qu’une part significative de son propre capital était détenue dans les coffres-forts affectés, éliminant la trésorerie nécessaire pour financer les travaux de récupération et les opérations continues. L’interface https://t.co/SVnV4cvqcc et les canaux d’assistance resteront actifs jusqu’au 31 août 2026. Le Lazy Summer DAO, un organe de gouvernance distinct, conserve le contrôle du protocole sous-jacent et travaille à restaurer les retraits et rachats des coffres-forts indépendamment de la fermeture de l’entreprise Labs. https://t.co/SVnV4cvqcc a fonctionné pendant environ sept ans, ayant été issue de la Maker Foundation en juin 2021, et le Lazy Summer Protocol avait accumulé près de 200 millions de dollars de TVL durant ses neuf premiers mois avant que l’exploitation ne mette fin à son activité commerciale. Pris ensemble, ces deux échecs proviennent du même défaut au niveau opérationnel : une infrastructure hors ligne privilégiée — une clé de signataire d’oracle et un calcul d’évaluation de coffre-fort — située en dehors du code de contrat intelligent audité mais directement sur le chemin des fonds des utilisateurs. Aucun des deux protocoles n’a été compromis par sa propre logique contractuelle. Les deux ont abouti à une fermeture totale des échanges ou des opérations.

Trois modifications au niveau du protocole au cours des 48 dernières heures : une compromission de l'exécuteur cross-chain active aujourd'hui, un hard fork de Cardano entrant dans son compte à rebours final, et Aave V3 lancé sur un ZK rollup avec des limites initiales restreintes. LayerZero : Le 15 juillet, PeckShield a signalé que les portefeuilles Executor de LayerZero avaient été compromis sur huit réseaux, notamment Ethereum, BNB Chain, Base, Arbitrum, Avalanche, Optimism, Mantle et Plasma, avec environ 2,4 millions de dollars volés. L'attaquant a transféré les fonds vers Ethereum et converti la majorité des actifs en 956 ETH et environ 322 000 dollars en USDC. Le rôle d'exécuteur dans LayerZero gère l'abstraction du gaz et la livraison des messages sur chaîne ; une compromission à ce niveau affecte l'exécution des messages sur chaque chaîne où l'exécuteur était actif. LayerZero n'a pas encore publié de rapport officiel sur l'incident, et la cause racine de l'accès aux portefeuilles n'a pas été confirmée. Les protocoles utilisant l'exécuteur de LayerZero Labs comme défaut doivent considérer la livraison d'exécution sur les chaînes affectées comme une variable de risque ouverte jusqu'à la publication du post-mortem. Cardano : L'activation du hard fork Van Rossem a été ratifiée à la limite de l'époque 642 le 13 juillet à 21:45 UTC, remplissant les seuils de vote requis pour les DRep, les opérateurs de pool de staking et le Comité Constitutionnel dans le cadre de la gouvernance Voltaire de Cardano. L'activation du hard fork est prévue le 18 juillet à 21:45 UTC. Cette mise à jour active la Version 11 du protocole, un hard fork intra-ère qui met à jour le modèle de coût Plutus pour réduire les frais d'exécution des contrats intelligents, introduit de nouvelles primitives cryptographiques, impose l'unicité des clés VRF et révise les règles relatives aux entrées de référence. À la date de ratification, 93 % de la production actuelle de blocs fonctionnaient déjà avec la version 11 du nœud, et la préparation des plateformes d'échange, mesurée par la liquidité suivie, avait atteint 84 %. Tout opérateur de pool de staking, plateforme d'échange ou service d'infrastructure encore en cours d'utilisation avec un nœud hérité sera hors synchronisation au bloc d'activation du 18 juillet. Il s'agit du premier hard fork de Cardano entièrement exécuté via la gouvernance Voltaire sur chaîne, sans contrôle unilatéral de IOG. Aave / zkSync Era : Le 10 juillet environ, le DAO Aave a exécuté la proposition d'activation d'Aave V3 sur zkSync Era, listant cinq actifs initiaux : USDC, USDT, WETH, wstETH et ZK. Le pool a été lancé avec des limites de prêt et de dépôt délibérément faibles, environ 10 000 dollars par actif, afin de permettre des tests internes avant que le Aave Guardian ne les augmente aux niveaux approuvés par la gouvernance. Le déploiement utilise Aave v3.1 et a été re-déployé avec la version 1.5.3 du compilateur zksolc après qu'un problème de dépendance du compilateur ait été identifié et corrigé. L'autorité d'administration du pool est détenue par le Aave Guardian pendant la période de démarrage. Cette activation suit l'achèvement par BGD Labs d'une évaluation technique complète de l'infrastructure réseau zkSync et l'approbation des paramètres d'actifs par les fournisseurs de risque. Les développeurs et protocoles sur zkSync Era ont désormais accès à l'infrastructure d'emprunt et de garantie d'Aave, avec des limites attendues pour augmenter une fois que le guardian aura confirmé un fonctionnement stable.

Quatre modifications au niveau des protocoles au cours des 48 dernières heures : deux mises à niveau mainnet déployées, un test de gouvernance Bitcoin approchant une date limite critique, et une défaillance de sécurité d’un oracle sur une L1. NEAR Protocol : Le 10 juillet, le mainnet NEAR a activé la version v2.13.0, déployant simultanément trois modifications d’infrastructure. La mise à jour a ajouté le support de signatures post-quantiques en utilisant l’algorithme ML-DSA-65 finalisé par le NIST au niveau des validateurs. Elle a également activé la division automatique des shards, permettant au réseau de redistribuer dynamiquement la charge entre les shards à mesure que la congestion augmente, sans nécessiter de modifications manuelles des paramètres via la gouvernance. La troisième modification implémente NEP-611, un nouveau système de clés de gaz permettant aux applications de parrainer les frais de transaction des utilisateurs, supprimant ainsi la nécessité pour les utilisateurs finaux de détenir des NEAR pour effectuer des transactions. Stellar : Le 10 juillet, le mainnet Stellar a déployé le Protocole 27, nommé Zipper. Cette mise à jour introduit des identifiants de contrat intelligent et la délégation de vérification d’identité des développeurs. Les identifiants permettent aux contrats intelligents de détenir et de vérifier directement sur la chaîne des attestations concernant des comptes ou des adresses, rendant la couche contrat de Stellar utilisable pour des workflows sensibles à la conformité sans dépendre d’infrastructures d’identité hors chaîne. Le timing est notable : DTCC a sélectionné Stellar comme couche de chaîne publique pour son pilote de titres tokenisés, dont les échanges limités en production sont prévus ce mois-ci. Bitcoin BIP-110 : Au 12 juillet, le signalage des mineurs pour le BIP-110 reste inférieur à 1 % alors qu’une date limite début août approche. Le BIP-110 imposerait une restriction d’un an sur les sorties OP_RETURN et autres méthodes de transaction transportant des données non financières. La proposition utilise un mécanisme de fork mou activé par les utilisateurs, exigeant 55 % de signalage des mineurs, nettement en dessous du seuil traditionnel de 95 %. Michael Saylor et Adam Back s’y sont tous deux ouvertement opposés. Avec moins de 1 % de soutien parmi les pools de minage à l’horizon de la date limite, le BIP-110 tend vers un fork minoritaire plutôt qu’un changement de règle à l’échelle du réseau, mais la voie UASF maintient formellement la possibilité ouverte jusqu’au déclencheur par hauteur de bloc. Bonzo Lend / Hedera : Le 12 juillet environ, Bonzo Lend a perdu environ 9,05 millions de dollars après qu’un attaquant a exploité une faille de vérification dans un contrat oracle tiers déployé sur le réseau Hedera. Le protocole a perdu 77 % de sa valeur totale verrouillée. Le vecteur d’attaque était le contrat oracle lui-même, et non la logique du protocole de prêt, ce qui place l’échec au niveau du flux de prix et de la vérification, et non dans le contrat principal de Bonzo. Hedera est une DLT basée sur un modèle de comptes principalement utilisée pour des cas d’usage de règlement d’entreprise, et Supra est un fournisseur oracle tiers. Cette défaillance ajoute un autre élément à la tendance identifiée par SlowMist dans son rapport mi-année H1 2026 : les infrastructures et les systèmes cross-chain absorbent une part disproportionnée des pertes par rapport aux vulnérabilités du code des contrats intelligents.

L’IA vient de rendre la mémoire factuelle gratuite et infinie. La pénalité pour oublier des détails est tombée à zéro. La prime sur ce que vous conservez réellement — structure, jugement, la bonne question — a fortement augmenté. Si vous vous souvenez comment les problèmes sont résolus, mais pas qui a écrit le livre : vous êtes fait pour cette ère.

J’ai récemment entendu les PDG de DeepMind et d’Anthropic discuter de cette expérience de pensée : imaginez un nouveau pays apparaissant du jour au lendemain avec une population de 10 millions de personnes, toutes plus intelligentes qu’Albert Einstein. Que se passerait-il ? Dans un autre podcast, le PDG de Microsoft a décrit un avenir où une entreprise pourrait avoir 2 millions, voire 20 millions, d’agents IA. Ce que beaucoup de gens ne réalisent pas, c’est qu’un « agent IA » n’est en réalité qu’une série coordonnée d’étapes. Par exemple, gérer les ordures ménagères pourrait impliquer : 1. Un agent qui suit en permanence l’emplacement de la poubelle. 2. Un autre qui surveille le site web de la ville de Cary pour les changements d’horaire. 3. Un troisième qui envoie des alertes en cas de mise à jour. 4. Un quatrième qui envoie un message texte rappelant à un humain ou à un robot le jour de collecte. Ces agents peuvent être empilés à l’infini pour former des systèmes complexes. Lorsque les gens parlent d’« IA », ils font souvent référence à ce système complet — les agents, sous-agents et règles qui les relient. Une fois que nous aurons des agents véritablement capables, ils concevront et optimiseront eux-mêmes ces systèmes : créeront les plans, les procédures de secours et les actions (en utilisant des LLM ou SLM locaux/personnels). La prochaine phase — l’amélioration récursive de soi — est déjà proche. Après cela, les progrès deviendront inarrêtables et la vie deviendra très étrange.

Les faux avis sont 👎. J’ai donc créé le contraire. AudienceScore : un protocole ouvert où chaque avis est vérifié par un reçu cryptographique et chaque note est recalculable par quiconque. Des notes que personne ne peut acheter. Open source, conçu pour l’ère de l’IA. https://t.co/vtrLnObyP7 https://t.co/UEKutXieMo

Cela deviendra-t-il la nouvelle réalité ? https://t.co/gPdB5yZbY3

T. Rowe Price : La SEC a approuvé le changement de règlement proposé par NYSE Arca le 14 juin pour coter et négocier les actions du T. Rowe Price Active Crypto ETF, ticker TKNZ. Ce fonds géré activement vise 5 à 15 actifs numériques, notamment le bitcoin, l'ethereum, le Solana et le XRP, sans indice fixe à suivre. T. Rowe Price gère plus de 1,8 billion de dollars d'actifs. Aucune date de début des négociations n'est confirmée — l'approbation du règlement est une condition préalable, pas le lancement lui-même. CFTC : La division de la surveillance du marché a émis une lettre sans opposition le 12 juin, autorisant les marchés de contrats désignés enregistrés auprès de la CFTC à convertir leurs futures existants de type perpétuel en véritables futures de biens numériques perpétuels en supprimant les dates d'expiration. Ce soulagement a été accordé suite à des demandes directes de la part de Bitnomial Exchange et Coinbase Derivatives. Les plateformes doivent solliciter les commentaires des participants ayant des positions ouvertes, fournir un préavis d'au moins cinq jours calendaires, permettre la sortie des positions selon les termes existants, et certifier leur conformité aux réglementations 40.5 ou 40.6 de la CFTC. Ce soulagement expire le 30 juin 2026. Il ne s'applique pas aux plateformes offshore ni aux actifs non numériques.

Deux modifications de l’infrastructure des stablecoins ont été mises en œuvre les 25 et 26 juin : un nouveau standard de jeton natif du protocole a été lancé sur Base, accompagné de deux défaillances du séquenceur, et Spark a fourni une liquidité partagée pour les échanges de stablecoins sur Uniswap v4. Base : Le fork Beryl a été activé le 26 juin à 18h00 UTC, introduisant B20, un standard de jeton natif du protocole destiné aux émetteurs de stablecoins et d’actifs du monde réel. Les jetons B20 s’exécutent comme des précompilations Rust au sein du logiciel du nœud de Base, et non comme des contrats intelligents déployés, et intègrent des permissions basées sur les rôles, des contrôles de création et de brûlage, des restrictions de transfert, ainsi que des outils de gel et de saisie pour les émetteurs réglementés. La mise à jour réduit également la fenêtre de retrait standard à preuve unique de Base vers ethereum de sept à cinq jours, et intègre Reth V2, qui, selon Base, réduit le stockage du nœud jusqu’à 50 %. Le 25 juin, quelques heures avant la date initialement prévue pour Beryl, la production de blocs a été interrompue pendant environ deux heures après le bloc 47 806 542, en raison d’une défaillance de consensus ayant introduit un bloc invalide dans le pipeline de séquençage. La chaîne s’est arrêtée une deuxième fois le 26 juin avec la même signature, les nœuds restant bloqués au même bloc. Les deux arrêts ont nécessité un redémarrage manuel des nœuds pour rétablir la synchronisation dans l’écosystème. La cause racine a été identifiée, mais aucun rapport post-mortem n’a été publié. En conséquence, l’activation du registre B20 sur le mainnet a été reportée sans nouvelle date fixée. Les développeurs ne peuvent pas déployer de jetons B20 tant que le registre ne sera pas en ligne. Spark / Uniswap : Le 25 juin, Spark a déployé environ 150 millions de dollars en liquidité de stablecoins sur deux pools Uniswap v4 sur le mainnet ethereum. Ces pools associent USDS de Sky à USDT de Tether et PYUSD de PayPal. La structure est conçue comme une infrastructure de règlement partagée afin que les banques, les fintechs et les entreprises de paiement entrant sur le marché de l’émission de stablecoins puissent accéder à un système unique regroupé plutôt que de créer chacune leur propre liquidité et gestion d’inventaire isolées. Spark agit comme la couche d’orchestration contrôlant la gouvernance d’allocation ; Uniswap v4 fournit l’architecture AMM programmable. Un hook DualPool permettant aux capitaux inactifs de passer à des stratégies de rendement entre les transactions est prévu pour une phase ultérieure, en attente d’un examen de sécurité distinct.