Raydium a révélé que son programme Legacy AMM V3, désormais obsolète, a été exploité pour environ 1,34 million de dollars après qu'une faille dans la validation de la frappe des tokens LP a permis à un attaquant de contourner les vérifications de proportion lors des dépôts de liquidité. Seuls les pools Legacy V3 inactifs étaient accessibles via le chemin du bug ; les programmes actuels du mainnet, le SDK et la DApp Raydium n'ont pas été affectés.
Le protocole a indiqué que les utilisateurs touchés seront intégralement indemnisés et qu'un audit de sécurité de l'ensemble des programmes mainnet est en cours. L'exploitation tombe sur un segment DeFi de Solana qui s'est nettement réduit depuis la rotation post-FTX vers les perp et le lancement du moteur V4 / CLMM de Raydium lui-même — un contexte qui rend un drain sur un programme legacy faible en valeur absolue mais gênant en termes d'image.
Pourquoi c'est important
Les IDs de programmes Solana obsolètes sont rarement fermés proprement. Tant qu'un compte de programme reste exécutable on-chain, tout manque de validation dans ses gestionnaires d'instructions est une cible ouverte — l'attaquant n'a besoin que de l'adresse du compte, qui est publique. Le cas Raydium en est une version emblématique : V3 a été remplacé, mais le programme lui-même était toujours actif.
Impact sur le marché
Le chiffre de 1,34 M$ est faible au regard des exploits de bridges cross-chain, et le remboursement déjà annoncé par Raydium limite la contagion. À surveiller : l'audit de sécurité fera-t-il remonter des failles de validation similaires dans d'autres IDs de programmes Solana legacy, et comment le token RAY du protocole ainsi que sa TVL se tiendront dans les 24 à 48 heures suivant la divulgation.
Questions fréquemment posées
-
Qu'a-t-il été exactement exploité lors du piratage de Raydium ?
Une faille dans la validation de la frappe des tokens LP du programme Legacy AMM V3 obsolète de Raydium a permis à un attaquant de contourner les vérifications de proportion sur les dépôts de liquidité, vidant environ 1,34 million de dollars depuis des pools V3 inactifs.
-
Les programmes mainnet de Raydium et les fonds des utilisateurs sur la DApp active ont-ils été affectés ?
Non. Raydium a indiqué que seuls les pools Legacy AMM V3 inactifs étaient accessibles via le chemin du bug. Les programmes mainnet actuels, le SDK et la DApp Raydium n'ont pas été affectés.
-
Raydium va-t-il rembourser les utilisateurs ayant perdu des fonds ?
Raydium s'est engagé à indemniser intégralement les utilisateurs touchés et a annoncé un audit de sécurité de l'ensemble de ses programmes mainnet. Le protocole n'a pas encore publié de calendrier ni de mécanisme de versement.
-
Pourquoi un programme AMM obsolète reste-t-il exploitable ?
Tant qu'un compte de programme Solana reste exécutable on-chain, ses gestionnaires d'instructions peuvent être appelés par quiconque connaît l'ID du programme. La déprécation ne supprime pas cette surface ; seule la fermeture ou le remplacement du compte de programme le fait.
-
Comment l'exploit de 1,34 M$ sur Raydium se compare-t-il aux autres piratages DeFi ?
Le montant est faible au regard des grands exploits de bridges cross-chain. Le remboursement déjà annoncé par Raydium et la portée limitée — pools obsolètes uniquement — limitent aussi la contagion directe, même si l'image pèse à court terme sur RAY et la TVL de Raydium.
CoinTelegraph
CoinDesk
CryptoSlate
TheBlock
Crypto News