Loopscale, un protocole de prêt à taux fixe sur Solana, a rouvert tous ses coffres le samedi 7 novembre, mettant fin à un gel commencé le 5 novembre. « Les dépôts et les retraits de tous les coffres sont de nouveau possibles, ainsi que toutes les fonctions de gestion des prêts », a écrit l’équipe sur X vers 21 h 40 UTC. Le hack de Loopscale à l’origine du gel comptait deux volets : un prêt d’environ 412 000 $ en SOL qu’une erreur de valorisation a laissé passer, et une tentative de rachat d’environ 521 000 $ dans le coffre USDC que Loopscale dit avoir stoppée en moins de 30 secondes.
Loopscale affirme que les déposants n’ont rien perdu. Le protocole n’a pas encore expliqué comment les deux coffres ont été reconstitués, et le « post-mortem technique complet » promis dans le même message doit arriver « bientôt », sans date.
C’est la deuxième fois en 18 mois que ces deux mêmes coffres sont touchés. En avril 2025, deux semaines après le lancement public du protocole, un attaquant en avait siphonné environ 5,8 millions de dollars en exploitant une autre faille de valorisation.
Une pause d’abord présentée comme une attaque sur les API
Loopscale a suspendu le protocole le jeudi 5 novembre. Son communiqué sur X, publié vers 10 h 13 UTC et repris par Crypto Briefing et crypto.news, indiquait que ses API recevaient plus de 30 000 requêtes malveillantes par jour depuis environ une semaine, visant les coffres Genesis SOL et USDC, de la part d’un « acteur sophistiqué ». Ses systèmes de sécurité ont ensuite détecté « une escalade significative », écrit l’équipe, qui a mis les opérations en pause.
Le même message précisait que les coffres touchés avaient déjà été reconstitués. « Tous les fonds déposés par les utilisateurs sont en sécurité », a écrit Loopscale. blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">Il listait quatre adresses liées à l’activité, deux sur Solana et deux sur des chaînes EVM, et disait travailler avec les forces de l’ordre fédérales et des spécialistes de la sécurité. Aucune agence n’était nommée et aucun montant n’était donné ce jour-là.
La priorité affichée le 5 novembre était de rétablir les remboursements de prêts, pour que les emprunteurs ne soient pas liquidés pendant que l’interface était coupée. Un membre de l’équipe a indiqué sur Discord que l’incident concernait les anciens coffres Genesis, a rapporté crypto.news.
Comment le hack de Loopscale a fonctionné : un prêt de 412 000 $ et un rachat de 521 000 $ bloqué
Les chiffres sont arrivés la nuit suivante. Dans une mise à jour publiée sur X vers 00 h 34 UTC le vendredi 6 novembre, Loopscale a dit avoir « identifié et contenu » deux chemins d’attaque, un par coffre. Les deux reposaient sur des transactions en plusieurs étapes visant une « logique de programme consultable publiquement » et des « API privées de construction de transactions », selon l’équipe.
Coffre Genesis SOL : une garantie valorisée comme un autre actif
Dans le coffre SOL, explique Loopscale, « une combinaison mal configurée de paramètres de valorisation des actifs » a fait passer la garantie déposée pour un autre actif, de plus grande valeur. Il en est résulté environ 412 000 $ de prêts sous-collatéralisés. Ce prêt était bien réel : le SOL a quitté le coffre.
Un chercheur indépendant, dont NullTX a publié la reconstitution le 7 novembre sans le nommer, a retracé l’opération on-chain. Le 1er novembre, un portefeuille a déposé un seul kySOL, un jeton de SOL restaké, et emprunté 4 597 SOL contre lui. L’attaquant aurait acheté ce kySOL environ 1,31 SOL quelque 154 secondes plus tôt. Un jeton d’une valeur d’environ 120 $ a été compté comme dix zBTC, un bitcoin enveloppé.
L’explication du chercheur tient aux décimales. Sur Solana, chaque jeton enregistre sa propre précision : le kySOL a neuf décimales, comme le SOL, et le zBTC en a huit. Un kySOL vaut 1 000 000 000 d’unités de base ; lu avec huit décimales, ce nombre devient 10,0. Selon la même analyse, l’attaquant a choisi une entrée de prix du zBTC, étiqueté la garantie comme une position Orca et déposé du kySOL ; la règle Orca n’exigeait pas que l’adresse du jeton corresponde à l’identifiant du zBTC, alors que la règle des jetons SPL classiques l’aurait refusé.
Cette lecture est celle du chercheur. Loopscale n’a nommé ni le kySOL ni le zBTC, et sa propre formule, un mélange mal configuré de paramètres de valorisation, est plus large. Le post-mortem devrait dire quel paramètre a cédé.
Deux jours après le prêt, le 3 novembre, celui-ci a été liquidé. Environ 4 598,4 SOL enveloppés sont revenus d’un portefeuille distinct vers la stratégie de prêt, soit près de 1,43 SOL de plus que le montant emprunté, et le liquidateur a récupéré l’unique kySOL. Le registre public ne montre pas qui a financé cette liquidation. NullTX cite aussi des informations selon lesquelles le SOL emprunté a été transféré vers d’autres chaînes par un pont, ce qui cadrerait avec le mélange d’adresses Solana et EVM publié par Loopscale ; ce point est rapporté, non confirmé.
Coffre Genesis USDC : une valeur nette d’actif gonflée
Le second chemin visait le coffre USDC. Selon Loopscale, un lot de transactions atomiques a vendu au coffre un prêt assorti d’un taux d’intérêt extrême. La valeur nette d’actif du coffre a ainsi grimpé sur le papier, ce qui préparait un rachat d’environ 521 000 $, bien plus que la position ne le justifiait. Loopscale affirme que ses systèmes l’ont arrêté dans les 30 secondes suivant la génération de la transaction.
Les 521 000 $ étaient donc une tentative, et les deux montants ne s’additionnent pas. Leur somme, environ 933 000 $, est décrite par une analyse de PandaSecurity sur DEV Community comme une exposition, non comme une perte pour les déposants. NullTX rapporte que Loopscale veut durcir la logique des transactions passant par ses API privées, ainsi que les contrôles des adresses de jetons dans les contrats ; le message du 6 novembre ne donne lui-même aucune liste de correctifs.
Le même message a rétabli une partie du protocole : les fonctions de prêt prioritaires, les ajouts de garantie sur tous les prêts, et les remboursements sur tous les prêts sauf ceux financés par le coffre Genesis USDC. Les emprunteurs ayant tout remboursé pouvaient récupérer leur garantie, là encore sauf sur les prêts Genesis USDC. Les retraits des coffres sont restés gelés jusqu’à samedi soir.
Ce que Loopscale n’a pas encore expliqué
« Aucun dépôt d’utilisateur ne subira de perte », a écrit Loopscale le 6 novembre. Aucun média n’a pu vérifier cette affirmation. Plusieurs points restent ouverts :
- Comment les coffres ont été reconstitués, et avec l’argent de qui. La liquidation du 3 novembre a rendu un peu plus de SOL que prêté, ce qui couvre à première vue le coffre SOL, mais Loopscale n’a pas dit que c’est ce que « reconstitué » veut dire.
- Si les 30 000 requêtes malveillantes par jour relevaient de la même activité que les deux chemins d’attaque ou d’une campagne distincte.
- L’identité de l’attaquant. Loopscale n’a nommé personne, et aucune prime ni négociation n’a été signalée, contrairement à 2025.
- Quel paramètre était mal configuré, et depuis quand. Aucune signature de transaction ni aucun code de programme n’a été publié.
- La date du post-mortem. Loopscale dit « bientôt » et rien de plus précis.
La liste des piratages de DefiLlama, consultée à 05 h 46 UTC le 8 novembre, recense l’incident sous le nom « Loopscale Lending » au 5 novembre, classé comme logique de protocole, sans montant renseigné. La documentation de sécurité de Loopscale indique que tous les programmes déployés font l’objet d’une revue externe avant leur mise en production et affirme : « L’activité de prêt et de liquidation est suspendue si les flux d’oracle sont périmés ou compromis. » La page ne nomme aucun auditeur et ne mentionne aucun incident passé, avril 2025 compris.
L’exploit d’avril 2025 chez Loopscale : les mêmes coffres
Le 26 avril 2025, un attaquant a manipulé le prix des jetons principaux RateX, que Loopscale acceptait en garantie, et emprunté bien plus que la valeur de cette garantie. Environ 5,7 millions d’USDC et quelque 1 200 SOL ont quitté les coffres Genesis SOL et USDC, soit environ 5,8 millions de dollars au total. L’attaquant a accepté une prime whitehat de 10 % et l’immunité, et le 28 avril 2025, les 19 999 SOL restants étaient revenus dans un portefeuille de Loopscale, raconte crypto.news. Les remboursements ont repris en premier ; les retraits des coffres ont rouvert plus tard.
Les mécanismes diffèrent : le flux de prix d’un jeton en 2025, une configuration de valorisation en 2026. Dans les deux cas, c’est une faille de valorisation des garanties, dans les mêmes coffres. NullTX pose la question ouverte sans détour : le post-mortem montrera-t-il des garde-fous à la mesure de la fréquence de ce type de bug ? Pour qui découvre ce schéma, les principaux types d’attaque sont décrits dans notre explication des hacks DeFi et des attaques d’oracle.
Coffres rouverts, mais les sorties dépendent de la liquidité
La réouverture ne signifie pas que chaque déposant peut sortir d’un coup. Les retraits « restent soumis à la liquidité disponible dans les coffres concernés », a écrit Phemex dans son résumé de la réouverture. Les coffres de Loopscale prêtent leurs dépôts sous forme de prêts à taux fixe via un carnet d’ordres : les liquidités qu’un coffre peut verser sont donc celles qui ne sont pas prêtées à l’instant T. Notre guide sur le fonctionnement du prêt DeFi à taux fixe explique pourquoi ces prêts ne peuvent pas être rappelés avant terme.
Les emprunteurs du coffre Genesis USDC ont été les derniers soulagés. Jusqu’à samedi, ils ne pouvaient ni rembourser ni retirer leur garantie, ce qui les laissait exposés si les prix bougeaient. Le SOL s’échangeait vers 89,10 $ à 05 h 38 UTC le 8 novembre, en recul d’environ 6,9 % sur sept jours, d’après le relevé de marché de Coindaro.
Les déposants n’ont pas fui. La valeur totale verrouillée de Loopscale s’établissait à 90,24 millions de dollars le 5 novembre, jour de la pause, et à 85,15 millions à 04 h 21 UTC le 8 novembre, soit une baisse d’environ 5,6 %, selon les données de DefiLlama lues à 05 h 48 UTC. Les fonds empruntés s’élevaient à 35,86 millions de dollars. La baisse du 8 novembre peut refléter les premiers retraits après la réouverture comme le cours du SOL, et les données ne permettent pas de les distinguer.
| Date (00 h 00 UTC sauf mention) | TVL de Loopscale | Événement |
|---|---|---|
| 29 octobre | 93,03 M$ | Environ une semaine de trafic API malveillant déjà en cours |
| 1er novembre | 88,71 M$ | kySOL déposé, 4 597 SOL empruntés |
| 3 novembre | 88,25 M$ | Prêt liquidé, environ 4 598,4 SOL restitués |
| 5 novembre | 90,24 M$ | Protocole suspendu |
| 6 novembre | 88,60 M$ | Deux chemins d’attaque révélés, remise en service partielle |
| 7 novembre | 88,86 M$ | Tous les coffres rouverts dans la journée |
| 8 novembre, 04 h 21 UTC | 85,15 M$ | Dernier relevé DefiLlama |
Les prêteurs de Solana traversent un automne difficile. Jupiter Lend manquait encore de liquidités après le hack de Binance, comme le raconte notre article sur la réouverture d’Aave et le déficit de liquidité de Jupiter Lend, et le hack de 295 millions de dollars de Drift Protocol en octobre reste le cas de référence du risque DeFi sur Solana. La semaine même du prêt chez Loopscale, les coffres d’options de Premia sur Arbitrum ont perdu environ 437 000 $ en deux transactions.
Aucune garantie des dépôts pour les prêteurs DeFi
Pour les lecteurs en Europe comme aux États-Unis, la règle est la même : l’argent prêté via un protocole comme Loopscale n’est couvert par aucune garantie des dépôts ni par aucun système d’indemnisation des investisseurs. MiCA et les régimes nationaux d’agrément s’appliquent aux prestataires qui détiennent les actifs de leurs clients, pas à un programme de prêt non dépositaire. Aucun régulateur aux États-Unis, en France ou en Italie n’a commenté l’incident. Que les déposants soient intégralement remboursés repose sur la parole de Loopscale, jusqu’à ce que le post-mortem montre les comptes.
La prochaine date à surveiller est celle du post-mortem. Tant qu’il n’est pas publié, personne hors de l’équipe ne peut dire quel paramètre a failli ni qui a payé pour combler l’écart.