La nouvelle menace qui pèse sur la DeFi : comment des pools de liquidités malveillants trompent les utilisateurs d'Ethereum et de Polygon avec de fausses cotations

Une tactique « Jekyll et Hyde »

Une nouvelle catégorie de pools de liquidité malveillants dans le domaine de la finance décentralisée (DeFi) cible l’infrastructure centrale sur laquelle s’appuient les traders de cryptomonnaies pour trouver les meilleurs prix, selon une nouvelle étude publiée le 16 juillet par la société d’infrastructure DeFi Enso. L’entreprise qualifie ces configurations trompeuses de « pools toxiques ». Contrairement aux piratages classiques de cryptomonnaies qui détournent directement des fonds depuis des contrats intelligents, ces pools sont conçus pour tromper systématiquement les simulations de transactions. Ils renvoient des cotations attractives et très compétitives lorsqu’un portefeuille de cryptomonnaies ou un agrégateur d’échanges décentralisés (DEX) effectue une simulation, mais ils modifient leur comportement dès que la transaction est réellement exécutée sur la blockchain.

Il en résulte un détournement subtil et systémique : les traders obtiennent des prix d’exécution nettement moins avantageux que ceux qui leur avaient été proposés, ou leurs transactions échouent, entraînant ainsi un gaspillage des frais de réseau.

« Notre enquête nous amène à penser qu’il ne s’agit pas simplement d’une nouvelle faille isolée dans un contrat intelligent », a déclaré Milos Costantini, cofondateur et directeur des produits chez Enso. « Le secteur a passé des années à optimiser la découverte des prix. Nos conclusions suggèrent que le prochain défi consiste à vérifier l’intégrité de l’exécution. »

Selon le rapport d’Enso, les pools toxiques exploitent les simulations « dry-run » hors chaîne que les portefeuilles utilisent pour prévisualiser les transactions. Les contrats malveillants détectent lorsqu’ils s’exécutent dans un environnement de simulation en lecture seule et renvoient un prix artificiellement optimisé. Une fois la transaction effectivement diffusée sur la chaîne, le pool modifie sa logique mathématique pour exécuter la transaction à un taux dégradé. Pour rester invisibles aux systèmes de sécurité, ces pools alternent entre des états honnêtes et malveillants, rendant inefficaces les analyseurs de code statique et les filtres de réputation historiques. Cette technique d’appât et de substitution dégrade l’expérience utilisateur et épuise les fonds des utilisateurs par le biais de transactions échouées. Dans une étude de cas, un pool Curve manipulé a déclenché plus de 37 000 transactions annulées, forçant les utilisateurs à dépenser près de 30 000 dollars en frais de gaz.

Les attaquants exploitent également les architectures d’échange modulaires de nouvelle génération. Sur Polygon, un « hook » malveillant — un plugin de contrat intelligent utilisé sur des plateformes telles qu’Uniswap v4 — a trompé les systèmes de routage avec de faux taux avant de provoquer un taux d’échec des transactions de 99,1 %.

Conclusions de l’analyse forensic on-chain

Cette étude, qui s’est étalée sur environ deux mois d’analyse forensic on-chain, a combiné des données historiques issues des nœuds d’archivage, l’analyse des traces de transactions et l’inspection des contrats intelligents. Les ingénieurs d’Enso, avec le soutien de leurs contacts au sein des principaux protocoles DeFi Curve Finance et Oku, ont identifié des pools toxiques actifs opérant à la fois sur les blockchains Ethereum et Polygon.

Dans une étude de cas documentée sur Ethereum, un pool Curve manipulé a traité plus de 129 000 swaps. Alors que le pool semblait constituer l’itinéraire optimal, il a fourni une exécution moins favorable que celle indiquée, entraînant environ 225 000 dollars de cotations surévaluées.

De plus, l’équipe d’Enso a identifié plusieurs contrats d’oracle de blockchain déployés par le même opérateur pour prendre en charge des pools supplémentaires, ce qui indique que cette tactique est probablement plus répandue que ne le laissent supposer les deux cas documentés et pourrait constituer un nouveau modèle d’extraction sur la chaîne.

Ces conclusions constituent un défi direct pour la couche orientée utilisateur de l’écosystème DeFi. Les portefeuilles populaires, les interfaces grand public et les agrégateurs s’appuient fortement sur des simulations automatisées pour garantir le « meilleur chemin » pour la transaction d’un utilisateur.

Le rapport d’Enso souligne que si l’infrastructure de routage ne peut pas faire la distinction entre une cotation légitime et une cotation manipulée, les interfaces utilisateur continueront d’orienter les utilisateurs vers ces pièges. Cela engendre des risques potentiels de responsabilité juridique et financière pour les fournisseurs de portefeuilles et les opérateurs d’interfaces qui promettent la « meilleure exécution » mais proposent systématiquement des itinéraires toxiques.

En réponse à cette menace, Enso a annoncé avoir mis à jour son produit de protection de l’exécution, Enso Shield, afin d’y inclure une fonctionnalité dédiée à la détection des « pools toxiques ». Cet outil de sécurité est conçu pour contourner les méthodes de simulation standard en analysant le contexte en temps réel sur la chaîne, en surveillant l’historique des cotations et en utilisant les traces de transactions pour repérer les divergences d’exécution.

Plutôt que de pointer du doigt des plateformes d’échange décentralisées en particulier, Enso a appelé l’ensemble du secteur des cryptomonnaies à mener des recherches plus approfondies sur la manipulation des simulations de transactions. « Si les simulations de transactions peuvent être manipulées alors que l’exécution réelle montre une réalité différente », a déclaré M. Costantini, « nous avons besoin de meilleurs moyens pour vérifier ce que les utilisateurs reçoivent réellement. »