Swell a suspendu les dépôts et les retraits de ses deux jetons de staking Ethereum, swETH et rswETH, comme l’équipe l’a annoncé sur X à 06 h 39 UTC ce vendredi 23 octobre. Elle veut ramener le taux de change des jetons, leur valeur nette d’inventaire (NAV), « à la bonne valeur » avant de rouvrir, et n’a donné aucune date. Cette suspension intervient environ 29 heures après que des chercheurs en sécurité ont affirmé que les clés d’administration des jetons semblaient compromises et que quelqu’un faisait grimper le taux sans ETH en face. Swell n’a pas dit ce qui s’est passé. Le protocole assure qu’aucun ETH n’a quitté ses contrats de dépôt ou de retrait.
Selon le décompte des chercheurs, environ 2 500 ETH sont en jeu, soit à peu près 6,0 millions de dollars avec un ETH vers 2 398 $ à 10 h 28 UTC le 23 octobre. Aucune perte n’a été signalée. Les deux produits de Swell pesaient chacun environ 29 millions de dollars sur DefiLlama vendredi matin.
Dans son message, Swell explique travailler avec « nos partenaires de sécurité et Seal911 » pour « sécuriser entièrement notre infrastructure », et que « nous avons suspendu les dépôts et les retraits de swETH et rswETH ». L’étape suivante, écrit-elle, « consiste à ramener la NAV à la bonne valeur », après quoi les dépôts et les retraits reprendront. D’après un résumé de l’annonce publié par TechFlow à 08 h 01 UTC, Swell a aussi indiqué que tous les fonds sont actuellement en sécurité, et conseillé aux utilisateurs de se méfier du phishing et de s’en tenir à ses canaux officiels.
Swell suspend les retraits swETH : ce que la pause bloque, et ce qu’elle ne dit pas
Le gel se fait directement sur la blockchain. The Defiant, qui a classé son article dans sa rubrique Hacks, écrit que des contrôles on-chain bloquent désormais les demandes de retrait et la récupération des ETH, et que Swell doit corriger la NAV avant de rouvrir. Concrètement, un détenteur de swETH ou de rswETH ne peut pas, pour le moment, lancer un retrait vers l’ETH via Swell, et un retrait déjà demandé ne peut pas être réclamé.
Aucun post-mortem n’est publié à ce stade, pas plus qu’une liste des adresses de contrats concernés, un hash de transaction ou un élément sur la cause. L’équipe n’a employé ni le mot exploit, ni le mot piratage, ni l’expression compromission de clé. Elle n’a pas dit qui rétablira le taux, comment, ni si cela exige un multisig ou un vote de la DAO. À 10 h 50 UTC le 23 octobre, aucune date de réouverture n’avait été donnée.
Nous n’avons pas pu vérifier si les jetons peuvent encore s’échanger sur les plateformes décentralisées, ni à quel prix. Nous n’avons trouvé aucun cours fiable de swETH ou de rswETH à citer.
Des chercheurs évoquent une fuite présumée de clé admin et un taux relevé sans contrepartie
La première alerte publique est venue de Spreek, un chercheur DeFi qui publie sous le nom @spreekaway, à 01 h 28 UTC le 22 octobre. « Les clés admin de swETH et rswETH de Swell DAO semblent compromises (lié à Railway ?) », a-t-il écrit. pool di un market maker automatico divergono, rispetto a tenere semplicemente gli stessi token. Diventa definitiva al prelievo.">Il ajoutait que les attaquants relevaient la NAV « de 1 % maximum (sans contrepartie) chaque heure », et que quatre contrats de mise à jour malveillants avaient été déployés, pas encore mis en file d’attente via le multisig, capables de prélever environ 2 500 ETH.
Si ces contrats sont bien ce que décrit Spreek, ils comptent davantage que le taux lui-même. Dans une architecture à proxy, l’adresse du jeton que détiennent les utilisateurs ne change pas, alors que le code qui se trouve derrière peut être remplacé par une nouvelle version. Selon la dépêche de KuCoin, un autre chercheur, ADL (@ADLXBT), a expliqué que la clé qui aurait fuité donne des droits d’administrateur du proxy : un attaquant pourrait donc pointer le proxy vers une implémentation malveillante et appeler des fonctions de création de jetons (mint) ou de retrait. Au moment de son message, a précisé Spreek, aucun des quatre contrats n’avait encore été mis en file d’attente via le multisig.
Comment le taux aurait été relevé, selon Phylax Systems
Odysseus, fondateur de la société de sécurité Phylax Systems, a livré le récit le plus détaillé, rapporté par Cryptopolitan. Il a compté cinq hausses d’environ 1 % chacune : trois sur swETH et deux sur rswETH. Les données Ethereum que reprend Cryptopolitan montrent une même adresse qui soumet des instantanés du taux de swETH à 23 h 02 UTC le 21 octobre, puis à 00 h 04 et à 01 h 08 UTC le 22 octobre.
Le code d’oracle publié par Swell, a-t-il expliqué, ne permet qu’à un seul rôle, nommé BOT, de soumettre ces instantanés de réévaluation. Il parle d’un « abus de clé BOT ». D’après ses chiffres, le 22 octobre, swETH se situait environ 3,0 % au-dessus de son taux précédent de 1,133254 ETH, et rswETH environ 2,0 % au-dessus de 1,082464 ETH.
Il a estimé les avoirs de Swell à 2 513 ETH, en prenant soin d’ajouter que ce montant « n’est PAS une perte confirmée ». Selon lui, seule une partie du taux plus élevé s’était répercutée dans les prix sur les wallet senza affidare la custodia dei fondi a una società.">DEX.
Il s’agit d’affirmations de chercheurs identifiés, pas de constats confirmés par Swell. Les deux médias signalent une fragilité dans ces recherches : KuCoin, qui relaie TechFlow, indique que le rapport d’incident de Spreek a été produit avec un modèle d’IA et n’est que partiellement vérifié, et Cryptopolitan précise que certains détails ont été compilés avec l’aide d’une IA. Aucun hash de transaction n’a été publié avec ces chiffres. Nous n’avons trouvé aucun message sur Swell de PeckShield, Cyvers, CertiK ou d’une autre société de surveillance ; Seal911 n’apparaît que comme partenaire de Swell.
Swell affirmait le 22 octobre qu’aucun ETH n’avait quitté ses contrats
La première réaction publique de Swell est tombée à 03 h 03 UTC le 22 octobre, environ 95 minutes après le message de Spreek. « Aucun ETH n’a quitté les contrats de retrait ou de dépôt de swETH ou rswETH », a écrit l’équipe dans un message sur X, en disant enquêter avec des partenaires de sécurité et qu’aucune action n’était demandée aux utilisateurs. Le protocole est resté ouvert ce jour-là.
Plus d’une journée après, il a changé de cap et fermé les dépôts et les retraits. Swell ne l’a pas expliqué. Une lecture plausible de ses propres mots est d’ordre mécanique : si le taux est faux, laisser les gens retirer à ce taux reviendrait à verser des ETH non couverts, et laisser les gens déposer leur remettrait moins de jetons que ce qui leur est dû. C’est notre déduction à partir de la formulation, pas une déclaration de Swell.
| Heure (UTC) | Événement | Source |
|---|---|---|
| 21 oct. | Railway révèle un accès à des systèmes qui stockent les variables d’environnement de ses clients | Railway |
| 21 oct., 23 h 02 | Une adresse soumet un instantané du taux de swETH | Cryptopolitan, citant Odysseus |
| 22 oct., 00 h 04 et 01 h 08 | Deux autres instantanés depuis la même adresse | Cryptopolitan, citant Odysseus |
| 22 oct., 01 h 28 | Spreek dit que les clés admin semblent compromises | Message X de @spreekaway |
| 22 oct., 03 h 03 | Swell dit enquêter et qu’aucun ETH n’a quitté ses contrats | Message X de @swellnetworkio |
| 23 oct., 06 h 39 | Swell suspend dépôts et retraits jusqu’à la correction de la NAV | Message X de @swellnetworkio |
Le lien avec Railway n’est qu’une hypothèse, et Spreek le dit lui-même
Le point d’interrogation de Spreek désigne Railway, la plateforme d’hébergement d’applications. Le 21 octobre, Railway a signalé une activité anormale sur des systèmes qui stockent les variables d’environnement de ses clients, indiqué que certaines valeurs chiffrées avaient pu être lues et certaines déchiffrées, suspendu les déploiements et demandé à chaque utilisateur de renouveler ses clés d’API et autres identifiants. Un enquêteur crypto connu sous le nom de Tay a ensuite relié environ 371 000 $ de vols, sur au moins 19 chaînes EVM, à des clés conservées chez Railway, comme nous l’avons raconté dans notre article sur la brèche de Railway et le vol crypto de 370 000 $.
Rien de ce qui a été publié jusqu’ici ne relie Swell à Railway. Spreek lui-même, selon KuCoin et ChainCatcher, qualifie ce lien de spéculatif, une simple coïncidence de calendrier, sans preuve concrète. Swell n’a pas dit où ses clés étaient conservées.
La TVL de Swell reste proche de 29 millions de dollars par produit
Si les détenteurs se ruaient vers la sortie, les données ne le montrent pas. DefiLlama situait Swell Liquid Staking, le produit swETH sur Ethereum, à 29 053 814 $ à 09 h 45 UTC le 23 octobre, après 28,25 millions de dollars le 21 octobre et 29,09 millions le 22 octobre. Sa variation sur un jour était de -1,26 %. Swell Liquid Restaking, derrière rswETH, s’établissait à 29 189 120 $, en baisse de 0,74 % sur la journée.
Deux réserves s’imposent. Un protocole gelé ne peut pas voir de sorties passer par ses propres contrats, si bien qu’une TVL stable après la pause dit peu de chose sur la demande. Et DefiLlama valorise les jetons en partie à partir du taux on-chain, que les chercheurs disent avoir été relevé : nous ne traitons donc pas ce chiffre comme une mesure de la couverture. Les autres produits de Swell sont très en dessous de ces niveaux : Swell L2 Farm à 1,84 million de dollars, Swell Earn à 0,51 million, son jeton de restaking bitcoin à 0,47 million et le pont Swellchain à 0,34 million.
| Produit Swell (DefiLlama) | TVL, 23 oct. | Variation sur 1 jour |
|---|---|---|
| Liquid Staking (swETH) | 29,05 millions de dollars (09 h 45 UTC) | -1,26 % |
| Liquid Restaking (rswETH) | 29,19 millions de dollars | -0,74 % |
| L2 Farm | 1,84 million de dollars | n.c. |
| Earn | 0,51 million de dollars | n.c. |
| BTC LRT | 0,47 million de dollars | n.c. |
| Pont Swellchain | 0,34 million de dollars | n.c. |
Pourquoi un taux gonflé pose problème au-delà de Swell
swETH est un jeton de staking liquide : on dépose de l’ETH, le protocole le met en staking, et l’on reçoit un jeton dont la valeur en ETH augmente à mesure que les récompenses arrivent. rswETH fait de même, avec du restaking en plus. Le taux de change est toute la promesse : il indique à chaque application combien d’ETH vaut un jeton.
C’est pourquoi Odysseus a pointé du doigt le prêt. Un marché de prêt qui valorise swETH ou rswETH à partir du taux on-chain, plutôt qu’à partir des prix de marché, traiterait la valeur gonflée comme une garantie bien réelle. Quelqu’un qui détiendrait les jetons pourrait alors emprunter plus que ne le permet leur couverture en ETH. Nous n’avons trouvé aucun marché de prêt, sur Aave, Morpho ou ailleurs, qui annonce un gel de swETH ou de rswETH ou déclare une exposition. Cela signifie que nous ne savons pas, pas qu’il n’y en a pas.
Le risque n’est pas théorique cette année. Le 18 avril 2026, un attaquant a créé des rsETH sans contrepartie, le jeton de restaking de Kelp DAO, en exploitant une faille d’un pont LayerZero, et les a utilisés comme garantie sur Aave. Blockworks Research a estimé la dette irrécouvrable d’Aave entre 124 et 230 millions de dollars, avec une exposition de Morpho d’environ 1 million, et le dossier reste débattu sur le forum de gouvernance d’Aave. Rien n’indique que la même chose se soit produite avec les jetons de Swell.
Que peuvent faire les détenteurs de swETH et de rswETH ?
Très peu, par construction. Swell a indiqué le 22 octobre qu’aucune action n’était nécessaire et, le 23 octobre, selon TechFlow, a mis les utilisateurs en garde contre le phishing en leur demandant de n’utiliser que ses canaux officiels. Les incidents de ce type attirent de faux sites de « réclamation » et de « migration » : tout lien qui promet un retrait anticipé mérite la méfiance.
Les développeurs qui font tourner quoi que ce soit sur Railway ont, eux, un travail à faire, quelle que soit l’issue chez Swell. Railway recommande de renouveler toutes les variables d’environnement, clés d’API et identifiants de registre stockés, et de passer les journaux en revue. La plupart des pertes en crypto viennent des clés et des permissions de contrats plutôt que de la blockchain elle-même, comme l’expose notre explication sur les endroits où les hacks crypto se produisent vraiment.
Pour un lecteur français, ce type de protocole DeFi n’est pas un prestataire agréé : nous n’avons trouvé aucune communication de l’AMF sur cet incident, et rien ne dit à ce stade quel recours existerait en cas de perte.
Les questions ouvertes avant la réouverture de Swell
La réouverture dépend d’une seule étape, sans date : la correction de la NAV. Plusieurs éléments changeraient la lecture de cette affaire le jour où elle aura lieu.
- Quelle est la bonne NAV, et Swell remet-elle les deux jetons aux taux cités par les chercheurs, 1,133254 ETH et 1,082464 ETH, ou à autre chose.
- Si les quatre contrats de mise à jour décrits par Spreek existent, qui les contrôle et si les clés qui les commandent ont été renouvelées.
- Où la clé compromise, s’il y en a eu une, était stockée, et si Railway y est pour quelque chose.
- Si un marché de prêt ou un pool de DEX a pris en compte le taux gonflé, et qui supporterait une perte le cas échéant.
Le prochain signal à surveiller est un post-mortem ou un message de gouvernance de Swell qui nomme la cause et la méthode de correction. À 10 h 50 UTC vendredi, ni l’un ni l’autre n’était paru.