La partie la plus effrayante de l’exploitation de @summerfinance_ n’est pas les 6,04 M $ volés le 6 juillet.
C’est que ce risque a mis 8 mois à se construire, à plein vue, à travers quatre organisations.
30 oct. 2025 : Le plafond de SiloV2 Ark est fixé à zéro. Le désengagement commence.
Nov. 2025 : Stream Finance s’effondre. Les jetons Silo Varlamore deviennent périmés sur la chaîne, sans jamais être réévalués.
Avr. 2026 : l’attaquant finance des wallets, passe 3 mois à accumuler discrètement les jetons mal évalués.
6 juil. 2026 : une transaction atomique. 65,4 M $ en flash loan, 64,8 M $ déposés, les jetons périmés sont dons dans l’Ark toujours listé, 70,9 M $ rachetés.
5,64 M $ du vault USDC à risque faible. 0,40 M $ du vault à risque élevé.
Le curateur @BlockAnalitica a réduit les plafonds 8 mois à l’avance.
Les gardiens ont mis en pause dans l’heure.
La gouvernance a pris en charge le délistage. Jamais finalisé. Le protocole a géré totalAssets(). Il continuait de compter l’Ark mort.
Tout le monde affirme avoir fait son travail. La conception n’a pas fonctionné.
Les audits couvrent le code. Rien ne couvre l’espace entre quatre organisations sans runbook partagé.
Soyez très prudent lors de l’allocation à Morpho ou tout protocole qui repose sur des curateurs externes. Le modèle vous demande de garantir le risque de coordination entre des parties dont les incitations sont plus proches du BD que de la gestion des risques.
C’est pourquoi D2 fonctionne uniquement sur deux plateformes, @HyperliquidX et @DeriveXYZ. Et nous les surveillons étroitement.
Les contreparties n’ajoutent pas le risque de manière linéaire. Elles multiplient les points de rupture.
Êtes-vous suffisamment rémunéré pour le risque que vous prenez ?