Un attaquant a vidé six vaults d’options de Premia sur Arbitrum dans la nuit du samedi au dimanche 1er novembre, en deux transactions à environ une seconde d’intervalle, avec des prêts flash. The Defiant chiffre la perte nette à environ 437 000 $ de collatéral. Selon Arbiscan, la première transaction date de 03 h 15 min 39 s UTC. Aucune déclaration de Premia n’était disponible à la rédaction de cet article.
Le piratage de Premia reste modeste à côté de celui de Binance et de la ponction de b14g sur Core quelques jours plus tôt. Pour les déposants de Premia, la lecture de la blockchain est pourtant sans appel : ce qui reste dans ces vaults tient de la poussière.
Deux transactions, quatre blocs d’écart
La première transaction figure dans le bloc 520 166 479, la seconde dans le bloc 520 166 483. Toutes deux ont abouti. Elles partent de la même adresse, 0xbeBa8CEfD0D75d747C5AD966Dc17C0Bb60D84dBd, et appellent le même contrat, 0x577168C8c6fA937495C3D6961f1d7D734b2d785f. Les reçus, lus sur un nœud Arbitrum public, montrent aussi une transaction préparatoire envoyée par cette adresse à 03 h 14 min 37 s UTC, environ une minute plus tôt, dans le bloc 520 166 285. D’après KuCoin News, elle a créé les six contrats de pools d’options.
La société de sécurité Blockaid a donné l’alerte à 04 h 13 UTC, soit un peu moins d’une heure après la première transaction, dans un message relayé par TechFlow qui parlait d’une attaque toujours en cours.
Comment le piratage de Premia a fonctionné : prêts flash et pools d’options vides
Un vault d’options reçoit des dépôts et les utilise comme collatéral des options qu’smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il vend. Selon Blockaid, dans la version relayée par TechFlow, l’attaquant a créé des pools d’options vides, acheté des options avec de l’argent issu de prêts flash pour que le collatéral des vaults soit bloqué dans ces pools, puis retiré ce collatéral comme liquidité. The Defiant rapporte la même séquence, en citant lui aussi Blockaid.
L’explorateur de blocs va dans le même sens. Arbiscan montre la première transaction empruntant des jetons au Balancer Vault, dont 0,9 WBTC, 11 WETH et 6 000 USDC.e. Il affiche ensuite des jetons d’option créés puis détruits, avec des noms comme WBTC-USDC-06NOV2026-78000-C et WETH-USDC-06NOV2026-2200-P, et de l’ETH qui revient vers l’expéditeur. La seconde transaction a emprunté de la même façon 12 000 ARB et 9 500 USDC.e. Un prêt flash doit être remboursé dans la transaction même : les sommes empruntées n’ont servi que de fonds de roulement. Le gain est venu du collatéral.
Aucune source ne fait état d’une clé compromise. La description de Blockaid désigne la manière dont les vaults placent leur collatéral dans les pools, mais personne n’a dit si la faille se situe dans les contrats des vaults ou dans les pools centraux. DefiLlama recense deux rapports d’audit pour Premia V2 et aucun pour V3 ; ce n’est qu’un recensement, et l’on ignore si un audit a couvert ce code.
Ce qui a quitté les vaults : 3,64 WBTC, 43,47 WETH et plus
Le détail le plus complet vient de The Defiant, dans un tableau repris par KuCoin News. Il totalise environ 437 000 $ aux prix affichés par Arbiscan vers 04 h 16 UTC. L’addition des transferts de jetons dans les journaux d’Arbitrum pour les deux transactions donne les mêmes quantités, vault par vault.
| Jeton | Sortie nette des vaults |
|---|---|
| WBTC | 3,64410382 |
| WETH | environ 43,47 |
| USDC.e | 48 479,36 |
| ARB | 46 215,43 |
Le WBTC pèse le plus lourd. Au prix DefiLlama d’environ 77 600 $ vers 04 h 12 UTC, ces 3,64 WBTC représentent près de 283 000 $, soit environ les deux tiers du total. Les prix du même flux valorisent l’ensemble des quatre jetons à environ 437 000 $, en ligne avec The Defiant. Les soldes relevés après l’attaque sont minuscules : environ 0,0008738 WBTC dans le vault call WBTC et entre 45 et 126 USDC.e dans les vaults put. Ces chiffres ne comptent pas la valeur des positions d’options encore ouvertes.
Des retraits plus modestes pendant près de deux heures
Les 437 000 $ ne couvrent que les deux transactions de l’attaque. Les journaux d’Arbitrum, lus vers 05 h 50 UTC, montrent dix transactions ultérieures qui retirent des jetons des mêmes vaults. Ces mouvements n’ont été signalés nulle part ailleurs à ce jour.
Huit d’entre elles, entre 03 h 42 et 03 h 49 UTC, viennent d’une autre adresse, 0x085a20c93ccbf0316b6f9b70134180fd62539e9b, via un seul contrat. La première a retiré environ 2 044 ARB nets du vault call ARB et en a envoyé environ 2 029 à cette adresse. Deux autres ont suivi, depuis des adresses différentes, à 04 h 18 et 05 h 06 UTC.
Ensemble, ces dix transactions ont sorti environ 0,117 WBTC, 1,85 WETH, 2 406 USDC.e et 2 171 ARB, soit environ 16 000 $ aux mêmes prix. Les journaux montrent des jetons qui bougent, pas une intention. Impossible de dire si ces adresses appartiennent à l’attaquant, à des imitateurs ou à quelqu’un qui met des fonds à l’abri.
Pourquoi les pertes annoncées divergent, et ce que Premia n’a pas dit
Trois chiffres circulent et ils ne doivent pas être additionnés. L’alerte initiale de Blockaid donnait environ 400 500 $ et disait l’attaque encore en cours. Les 437 000 $ de The Defiant comptent le collatéral net. TokenPost a avancé environ 464 600 $, sans citer de source. Le média ajoute que les fonds sont passés d’Arbitrum à Ethereum, puis par Chainflip et NEAR Intents vers du BTC. Cet itinéraire n’a pas été vérifié. L’adresse de l’attaquant détenait moins de 0,001 ETH lors du relevé : l’argent en est donc parti.
DefiLlama n’avait aucune entrée Premia dans sa liste de hacks lors de la lecture, le 1er novembre. Ses données de protocole, lues vers 05 h 50 UTC, affichaient environ 533 000 $ de valeur totale verrouillée pour Premia V3 sur Arbitrum et environ 210 000 $ pour Premia V2 sur cinq chaînes. V3 progressait de 0,38 % sur un jour : ces chiffres ne reflètent peut-être pas encore la ponction, et rien ne dit qu’ils comptent ces vaults. À titre de repère seulement, 437 000 $ équivalent à environ 82 % du chiffre de V3.
Le site de documentation de Premia ne portait aucun avis d’exploit à la lecture, et son compte X n’a pas pu être ouvert. On ignore si les vaults sont suspendus, si les dépôts restent ouverts, et si un remboursement ou une prime de bug bounty est envisagé. L’attaquant n’est pas identifié, et rien n’indique si les fonds peuvent être gelés.
Les six vaults concernés, pour vérifier son exposition
Voici les contrats touchés, tels que les liste le tableau de The Defiant repris par KuCoin News. Chacun montre les sorties ci-dessus dans les journaux de transactions. Pour qui découvre le produit, notre guide des options et vaults DeFi explique comment les déposants gagnent de l’argent et ce qu’ils risquent.
| Vault | Adresse |
|---|---|
| WBTC call | 0x45dF5EA836A15B561937Ae8373ab9eE984aea531 |
| WETH call | 0xbae43c546DFADC69576aE73C68e0694A54F08e1B |
| ARB call | 0xDC631d88dbB5eb39f5c4Bf8B4e5298d098912fFf |
| WBTC put | 0x6A1FC0E1c60BA6564CDe4910A425F1F1a1d18C1F |
| WETH put | 0xD46993F25D298ebbCD31E941156C66f7e628A52a |
| ARB put | 0xBe3E229319f86f5ee96ee1dc0b6d55e8b68a439e |
Premia n’a publié aucune consigne connue : ses canaux officiels sont l’endroit où en guetter une. Le collatéral a été prélevé dans ces vaults ; rien de ce qui a été rapporté jusqu’ici ne concerne de l’ARB ou de l’USDC.e détenus ailleurs sur Arbitrum. Quiconque a connecté son portefeuille via un lien non officiel peut examiner et révoquer ses autorisations, une étape détaillée dans notre guide pour utiliser un DEX en sécurité.
Les jetons d’option cités dans la première transaction renvoient à une échéance au 6 novembre. Premia n’a pas dit ce que deviennent d’ici là les positions ouvertes dans les vaults vidés.