Mise à jour du 29 octobre 2026, 12 h 30 UTC : le nouveau validateur de Solflare est en service, et l’entreprise s’est engagée à verser les récompenses de staking manquées à tous les utilisateurs qui y transfèrent leur stake, a rapporté CoinDesk le 29 octobre. Les stakers peuvent retirer leur stake de « Solflare (Legacy) » puis le déléguer eux-mêmes au nouveau validateur, ou attendre une mise à jour de l’application qui les guidera ; aucun montant ni aucune durée de compensation n’ont été annoncés. Sur Stakewiz, à 11 h 32 UTC le 29 octobre, l’ancien validateur était toujours « delinquent », avec 1 526 587 SOL encore délégués.
Solflare, le portefeuille Solana en autogarde, a indiqué dans la soirée du mardi 27 octobre qu’un incident de sécurité chez l’un de ses prestataires de staking a touché les clés de validateur que ce prestataire détenait pour le validateur Solflare. Ce validateur ne produit plus de récompenses de staking. Selon l’entreprise, les SOL qui lui sont délégués n’ont pas été touchés et restent dans le compte de stake de chaque utilisateur. Le mercredi 28 octobre, Solflare a annoncé qu’un validateur de remplacement était en service, selon CoinDesk. « Les fonds des utilisateurs sont en sécurité », a déclaré Solflare, cité par The Defiant.
Ce validateur n’est pas modeste. Le traqueur validators.app affichait 1 559 012 SOL de stake actif lors de son calcul de 05 h 44 UTC le 28 octobre, soit environ 0,4 % de tous les SOL stakés. À 101,8 $ le SOL, prix du relevé de marché de Coindaro de 05 h 43 UTC ce jour-là, ce stake valait environ 159 millions de dollars. The Defiant a rapporté le même chiffre, environ 1,56 million de SOL, d’après les traqueurs de validateurs. Un jour plus tard, le stake n’avait guère bougé : Stakewiz, un autre traqueur, comptait encore 1 526 587 SOL délégués à 11 h 32 UTC le 29 octobre, soit environ 32 400 SOL de moins (près de 2 %).
Que s’est-il passé avec le validateur Solflare ?
Le récit repose pour l’instant sur la déclaration de Solflare elle-même, publiée sur X et reprise par plusieurs médias. D’après le résumé de Spendnode, le prestataire qui exploitait le validateur a prévenu Solflare que les clés qu’blockchain that runs exactly as written when it is called, holding and moving funds according to its code, without an intermediary able to change the outcome.">smart contract holding reserves of two or more tokens, supplied by users, that a decentralized exchange uses to execute trades automatically at a price set by a formula.">pool diverge, compared with simply holding the same tokens in a wallet. It becomes permanent when the provider withdraws.">il détenait étaient touchées, et son enquête se poursuit. Il s’agit des clés du prestataire, pas des systèmes internes de Solflare ni des portefeuilles individuels des utilisateurs.
Solflare n’a pas nommé le prestataire, et aucun média consulté non plus. Lorsque Crypto Briefing a publié son article à 19 h 42 EDT le 27 octobre (23 h 42 UTC), ni CoinDesk ni The Block n’avaient couvert l’incident. CoinDesk l’a traité le 29 octobre, sans nommer le prestataire lui non plus.
Les données en chaîne correspondent à un validateur à l’arrêt. Sur validators.app, la ligne Solflare (commission de 6 %, client Jito en version 4.3.2, membre du pool de stake Jito) porte une pastille rouge « delinquent ». Le traqueur n’affiche aucun centre de données pour ce nœud. Stakewiz montrait la même situation à 11 h 32 UTC le 29 octobre : validateur « delinquent », aucun crédit d’époque.
Pourquoi les 1,5 million de SOL stakés restent dans les comptes des utilisateurs
Staker sur Solana ne revient pas à confier ses jetons au validateur. Chaque délégateur possède un compte de stake distinct, contrôlé par deux clés. Selon la documentation de Solana sur les comptes de stake, l’autorité de stake signe pour déléguer, désactiver, scinder ou fusionner le stake, tandis que l’autorité de retrait « dispose de davantage de contrôle sur le compte, car elle est nécessaire pour liquider les jetons ». Dans un portefeuille comme Solflare, les deux appartiennent normalement à l’utilisateur.
Les clés du validateur ne figurent pas parmi ces autorités : celui qui les détient n’a donc aucune signature valable sur le compte de stake d’un délégateur. Résumant la déclaration de Solflare, Crypto Briefing écrit que les stakes délégués « restent dans le compte de stake de chaque utilisateur, entièrement sous son contrôle ». C’est ainsi que doit fonctionner l’autogarde : le portefeuille et ses partenaires ne détiennent jamais les jetons.
Aucune pénalité du protocole ne vient non plus grignoter le stake. La page de Solana sur le staking indique : « Il n’existe actuellement aucune implémentation du slashing dans le protocole. » Un validateur à l’arrêt coûte à ses délégateurs les récompenses qu’il ne gagne plus, pas leur capital.
Ce que l’on ignore encore
Beaucoup de choses. Solflare et son prestataire n’ont pas précisé :
- quelle entreprise exploitait le validateur, ni si ses autres validateurs sont touchés ;
- ce qui est arrivé aux clés, quand, et si elles ont été volées ou si l’accès a simplement été perdu ;
- combien de personnes délèguent à ce validateur, et à partir de quelle époque (epoch) les récompenses se sont arrêtées ;
- si les clés compromises ont servi à autre chose, comme un changement de commission ;
- la date de la mise à jour de l’application qui guidera la migration, ni le montant, la durée ou la formule de la compensation ;
- quel validateur remplace l’ancien : aucune source consultée ne donne son nom ni son compte de vote, et Stakewiz ne liste aucun autre validateur sous le nom Solflare.
Les soldes de la carte Solflare, l’USDC et les paiements en point de vente relèvent d’un autre produit. C’est l’analyse de Spendnode, et non une déclaration de Solflare, qui affirme que l’incident ne les concerne pas.
Deux voies vers le nouveau validateur, et une promesse sur les récompenses perdues
Le 27 octobre, Solflare indiquait à ses utilisateurs qu’aucune action n’était requise pour l’instant, selon le compte rendu de Spendnode de sa publication sur X. Le lendemain, le plan avait avancé. Le validateur de remplacement est en service, et Solflare s’est engagée à couvrir les récompenses manquées de tous les utilisateurs qui y migrent, a rapporté CoinDesk le 29 octobre. Phemex News et ChainCatcher, qui citent la publication de Solflare sur X, reprennent les mêmes conditions. Nous n’avons pas pu ouvrir cette publication nous-mêmes : les conditions rapportées ici sont celles de la déclaration de Solflare telle que relayée par ces médias.
Deux chemins y mènent. Un staker peut retirer normalement son stake du validateur désormais affiché « Solflare (Legacy) » dans l’application, puis staker ses SOL auprès du nouveau validateur. Il peut aussi attendre une mise à jour de l’application qui guidera la migration en quelques étapes. Les récompenses restent suspendues tant que le stake n’est pas actif sur le nouveau validateur. Solflare n’a donné ni montant, ni durée, ni formule pour la compensation ; ChainCatcher écrit que les détails seront annoncés plus tard.
Le transfert n’est pas instantané. Sur Solana, les changements de stake prennent effet aux frontières d’époque, espacées d’environ deux jours, rappelle CoinDesk : l’ancienne délégation doit s’éteindre avant que la nouvelle ne rapporte. La documentation de Solana prévient qu’une délégation ou une désactivation « prend plusieurs époques » et que la durée exacte est difficile à prévoir. Chaque compte de stake ne délègue qu’à un seul validateur à la fois.
Les stakers gardent aussi leurs propres options, puisque l’autorité de stake leur appartient : désactiver puis retirer leurs SOL, ou rediriger un compte de stake vers un validateur extérieur à Solflare. Telle que CoinDesk la rapporte, la promesse vise les utilisateurs qui passent au validateur de remplacement ; elle ne dit rien de ceux qui stakent ailleurs. Où et comment staker reste le choix de chaque détenteur.
La migration, aimant à arnaques
Toute migration annoncée attire de fausses migrations. Solflare affirme que le transfert se fera uniquement dans son application et qu’elle n’enverra jamais de messages privés ni de liens aux utilisateurs, rapporte Spendnode. CoinDesk relaie le même avertissement le 29 octobre. Un message qui propose de « vous aider à migrer » votre stake, un lien vers un site imitant celui de Solflare, ou une demande de signer une transaction que vous n’avez pas lancée dans l’application : c’est un piège, quel que soit le compte qui l’envoie. Notre guide pour éviter les arnaques crypto recense les astuces habituelles et les endroits où les signaler. En France, les signalements se font notamment sur la plateforme Info Escroqueries du ministère de l’Intérieur ; l’AMF tient aussi une liste noire de sites non autorisés.
Un drainer de portefeuille n’a besoin que d’une signature. Le compte de stake est à l’abri des clés du validateur, pas de son propriétaire qui céderait ses autorités sur une fausse page.
La délégation sur Solana en deux minutes
Sur Solana, les validateurs gagnent des récompenses d’inflation proportionnelles au stake qui leur est délégué et prélèvent une commission, ici 6 %, avant de reverser le reste. Un portefeuille qui propose du staking exploite ou parraine généralement son propre validateur, et confie les machines et les clés à une société d’infrastructure. C’est cet arrangement qui a cédé ici. Les jetons n’ont pas bougé ; le rendement, lui, s’est arrêté.
Les prochaines étapes à surveiller sont la mise à jour de l’application qui guidera la migration et l’annonce du montant et de la durée de la compensation. Le prestataire, lui, n’a toujours dit ni qui il est ni ce que son enquête a établi.