Les 220 millions de dollars volés à Kelp DAO sont presque entièrement blanchis ; la traçabilité chainée s'avère inefficace face à THORChain, Wasabi et Tornado Cash. Ce n'est pas un cas isolé — Radiant Capital vient de fermer après une attaque de 50 millions de dollars, et la vulnérabilité de Gnosis Pay continue de se développer. Le livre de confiance des ponts cross-chain est constamment réécrit. Les pirates ont utilisé THORChain pour transférer 175 millions d'ETH d'une chaîne à une autre, puis les ont mélangés et fractionnés, faisant grimper le volume quotidien de THORChain à 394 millions de dollars en une seule journée. Les outils de confidentialité ne sont pas nouveaux, mais cette échelle révèle un problème structurel : plus la liquidité cross-chain prospère, plus les canaux de blanchiment des pirates deviennent matures. Les 71 millions de dollars d'ETH gelés sont désormais au cœur d'un litige juridique — les familles des victimes nord-coréennes réclament leur saisie à titre de compensation. Sous une ordonnance judiciaire, il reste inconnu si ces fonds pourront être récupérés. L'hypothèse de sécurité du DeFi glisse progressivement de « le code est la loi » vers « la loi est la dernière ligne de défense ». Pour le marché, ce n'est pas une histoire de « mauvaises nouvelles déjà pricing ». Après chaque attaque, les protocoles renforcent leurs audits, mais les pirates évoluent également. L'augmentation du coût de la confiance cross-chain se reflétera finalement dans les frais de financement, le TVL et le comportement des utilisateurs — seriez-vous prêt à placer vos actifs sur un réseau pouvant être traversé par un canal de blanchiment ? $btc #eth #defi #chainagedonnées #ai

Tous les échecs DeFi ne commencent pas par un piratage. Firelight couvrira les défaillances techniques et économiques, y compris les dettes impayées et les atteintes structurelles aux relations entre actifs collatéraux et actifs de prêt. Chaque réclamation sera appuyée par des déclencheurs clairs et des preuves vérifiables sur la chaîne.

Le programme de bug bounty a reçu un grand nombre de soumissions depuis son lancement. Pour accorder à chaque rapport l'attention qu'il mérite, nous suspendons les nouvelles soumissions tout en traitant la file d'attente. Nous vous informerons dès que le programme rouvrira. Merci à tous ceux qui ont participé jusqu'à présent.

Hii. Seuls ceux qui peuvent payer 1 M$ en mesures de sécurité resteront sur le marché. > Mythos a détecté plus de 20 vulnérabilités critiques dans le code source de Palo Alto Networks, ce qui a consommé plus de 1 million de dollars en jetons.

Bitcoin. No cRiPtO. « La DAO n'a plus de chemin viable vers l'avenir. » Incapable de se remettre de l'attaque informatique qui lui a coûté environ 50 millions de dollars, Radiant Capital ferme ses portes.

Récupération par Whitehat : le chercheur Florent a collaboré avec l'équipe de HongCoin pour débloquer ~1 003 ETH (~2 M$) bloqués dans un contrat de remboursement de l'ICO de 2016 en raison de bugs liés à la logique de débordement/remboursement héritée. #Ethereum #SmartContractSecurity

Reentrancy décryptée – Le bug des contrats intelligents qui vide toujours des millions en 2026, et le patron Checks-Effects-Interactions qui l’arrête dans le code La reentrancy n’est pas de la magie. C’est un bug d’ordre : votre contrat met à jour son propre état APRÈS avoir effectué un appel externe, au lieu de le faire avant, et un attaquant réentre pendant cet intervalle. Corrigez l’ordre et le bug disparaît. Le DAO a perdu environ 3,6 M ETH (environ 60 M $, soit 5 % de tous les ETH existants à l’époque) à cause de cette erreur exacte le 17 juin 2016. Les conséquences ont divisé Ethereum en ETH et ETC. Dix ans plus tard, il continue de vider des fonds. Solv Protocol a perdu 2,73 M $ à cause d’une reentrancy le 5 mars 2026, et environ 52 M $ ont été volés sur divers protocoles onchain en mai 2026 (DeFiLlama via CryptoTimes, 31 mai 2026). Le patron vulnérable : lire le solde, envoyer les ETH avec un appel de bas niveau, puis définir le solde à zéro. La fonction receive() de l’attaquant réentre dans withdraw() avant que ce zéro ne soit appliqué, et boucle jusqu’à ce que le contrat soit vide. Deux correctifs, à utiliser ensemble : Checks-Effects-Interactions. Validez, mettez à jour TOUT l’état, puis effectuez l’appel externe en dernier. Déplacez balances[msg.sender] = 0 avant l’appel : l’appel réentrant lira alors zéro et annulera l’exécution. Le gardien nonReentrant d’OpenZeppelin. Un mutex de stockage (NOT_ENTERED à ENTERED) qui annule en cas de réentrée. Utilisez-le ET CEI, pas l’un ou l’autre. Deux erreurs que les développeurs commettent encore souvent : 1. .transfer() n’est plus un bouclier : la provision de 2300 gaz n’est plus une hypothèse sûre depuis qu’EIP-1884 a augmenté le coût de SLOAD en 2019. Utilisez .call{value:}("") avec CEI. 2. La reentrancy en lecture seule contourne un gardien standard, car une fonction view en lecture pendant une mise à jour renvoie un état corrompu et peut empoisonner une oracle de prix (dForce, 3,64 M $). À des fins éducatives uniquement. Pas un conseil financier. Suivez-nous pour des insights quotidiens – là où la blockchain rencontre l’IA, une swipe satisfaisante à la fois. #Solidity #SmartContractSecurity #Web3Security #Ethereum #DeFi #SmartContracts #BlockchainDeveloper #SolidityDev #EVM #OpenZeppelin #Reentrancy #Web3Dev #BlockchainSecurity #DeFiSecurity #SmartContractAudit #CodeSecurity #OnChain #BlockchainEducation