Voler une banque, c’est démodé. Aujourd’hui, on préfère mentir à sa comptabilité. Le protocole DeFi Ostium, spécialisé dans les marchés synthétiques, a perdu 18 millions de dollars après qu’un attaquant a retourné son propre système de price feed contre lui. La recette : injecter des données d’oracle falsifiées et horodatées dans le futur pour fabriquer des profits de trading qui n’ont jamais existé, puis encaisser le versement correspondant.
Points clés
- Ostium a perdu 18 millions de dollars après une manipulation de son système d’oracle
- L’attaquant a injecté de faux prix avec des timestamps futurs pour fabriquer des profits fictifs
- Un exploit similaire a frappé des actions Google tokenisées le 1er juillet avec une inflation de 7 700 %
- La sécurité du pricing reste le point faible récurrent des protocoles DeFi
Des prix venus du futur
L’assaillant n’a pas exploité un banal écart de valorisation. Selon la description de l’incident, il a alimenté l’infrastructure de reporting d’Ostium avec de faux prix affublés de timestamps futurs. Résultat : le protocole a vu apparaître des gains de trading imaginaires, qu’il a dûment validés avant de déclencher un paiement de 18 millions de dollars.
Le point faible est un classique de la finance décentralisée. Les smart contracts s’appuient sur des oracles pour récupérer des prix hors chaîne. Quand ces entrées sont corrompues, le contrat exécute sans broncher des opérations bâties sur une valorisation bidon. La blockchain fait ce qu’on lui dit, même quand on lui ment.
La logique de validation, vrai point d’entrée
Ostium se présente comme un protocole orienté marchés synthétiques. Que l’attaque soit passée par son propre système de price reporting le range dans une catégorie bien connue des équipes de sécurité : celle où la faille ne se niche pas dans le smart contract lui-même, mais dans la manière dont il valide les données qu’on lui sert.
Ce n’est pas un cas isolé. Le 1er juillet, un autre exploit de pricing a frappé des actions Google tokenisées, avec une inflation de cours de 7 700 % et environ 403 000 dollars de mauvaise dette. Là, l’oracle tiers affichait le bon prix : c’est la conversion interne du token qui était détournée. Mécaniques différentes, même signature. On ne pille pas le portefeuille, on empoisonne le chemin de prix.
Une alerte de plus pour la DeFi
Pour l’instant, les éléments publics se limitent à la perte de 18 millions de dollars et au mode opératoire décrit. Rien sur l’identité de l’attaquant, un éventuel gel des contrats ou un plan de remboursement.
Le fait marquant reste la précision chirurgicale de l’opération : quelques données d’oracle datées du futur ont suffi à faire reconnaître des profits fictifs et à ouvrir les vannes. Dans la DeFi, la sécurité du pricing demeure le verrou central, surtout quand gains et liquidations dépendent d’une lecture instantanée du marché. Autant s’assurer que ledit marché ne raconte pas n’importe quoi.
