Le protocole Ajna, une plateforme de prêt conçue pour fonctionner sans oracles de prix, aurait perdu environ 775 000 $ en ETH après que des attaquants aient abusé de la comptabilité interne de liquidation de la plateforme plutôt que de compromettre des flux de prix tiers.

L'exploit a touché plusieurs pools de liquidité, dont syrupUSDC, wstETH, rETH, cbETH, WBTC, WETH/USDC et sDAI. L'incident soulève des questions sur un élément central de la philosophie de conception d'Ajna : l'absence d'oracles et de gouvernance au profit d'un marché à tarification autonome. L'attaquant semble avoir profité de cette hypothèse même. L'affaire est suivie de près, car la suppression des oracles est présentée dans tout l'écosystème DeFi comme une amélioration de la sécurité — un argument avancé par Ajna elle-même — et une violation de la logique interne qui remplace l'oracle met directement à l'épreuve cette prémisse.

L'oracle qu'Ajna a délibérément laissé de côté

La plupart des protocoles de prêt s'appuient sur un service externe comme Chainlink pour déterminer les prix des collatéraux. Ajna ne le fait volontairement pas. Son livre blanc décrit le protocole comme « un système de prêt, d'emprunt et de trading non dépositaire, pair-à-pair et sans permission, qui ne nécessite ni gouvernance ni flux de prix externes pour fonctionner ».

À la place, les prêteurs fixent les taux auxquels ils souhaitent prêter en déposant des fonds dans des « buckets » (compartiments) de taille fixe, et ce sont les contrats du protocole qui déterminent quand un prêt est liquidé. Pour initier une liquidation, la partie qui lance le processus doit fournir un dépôt de garantie (liquidation bond), imposant une pénalité financière si une liquidation est effectuée sans justification. Le compromis, c'est que la complexité qu'un oracle aurait gérée à l'extérieur se retrouve dans les propres contrats du protocole — précisément là où cet exploit aurait frappé.

La société de sécurité MixBytes a expliqué le raisonnement derrière la suppression de l'oracle : « une part importante des attaques contre les protocoles DeFi provient de manipulations de prix d'oracles, d'erreurs de configuration et de problèmes de contrôle d'accès ».

La solution d'Ajna a été d'éliminer cette surface d'attaque et de s'en remettre aux opérations propres du pool. Un avertissement de Defimon suggère que l'attaquant s'est concentré précisément sur ce mécanisme interne — extrayant des fonds en manipulant la comptabilité de liquidation plutôt qu'en compromettant un flux de prix externe.

Une heure d'avertissement restée sans réponse

Defimon a déclaré avoir détecté une attaque préparée plus d'une heure avant la première transaction d'exploit et avoir averti Ajna via le Discord du projet (post X). Le protocole n'était pas encore sécurisé au début de l'assaut. L'écart entre l'avertissement et l'exploitation souligne une faiblesse opérationnelle récurrente dans la DeFi : même des alertes crédibles dépendent de la capacité d'une équipe à suspendre ou corriger les contrats à temps, et les protocoles sans permission disposent souvent, par conception, de mécanismes d'arrêt centralisés limités.

L'attaquant a ensuite parcouru de nombreux pools. Selon le rapport, le pool syrupUSDC a représenté environ 173 700 $ de la perte totale d'environ 775 000 $.

La perte est significative rapportée à la taille d'Ajna. À ce moment-là, les données de DefiLlama indiquaient une valeur totale verrouillée (TVL) d'environ 206 000 $ pour Ajna V2, avec des prêts actifs d'environ 418 000 $ et une variation de la TVL sur 30 jours de -54,2 %. La perte rapportée liée à l'attaque dépassait donc la TVL du protocole. Les chiffres en direct de DefiLlama ont changé depuis.

Casser le code, ou lui faire croire l'impossible

La question plus large est de savoir si l'attaquant a cassé le code d'Ajna ou a trompé le système en lui faisant traiter de fausses données comme valides. Les preuves disponibles pointent vers la seconde hypothèse.

L'historique d'audit publié par Ajna comprend des constats antérieurs liés aux calculs de « take » pendant la liquidation et à des cas où la comptabilité de l'état des buckets avait été traitée incorrectement, entre autres problèmes. Ces problèmes ont été jugés corrigés, mais ils témoignent d'une historique de complexité dans la logique de liquidation et de comptabilité.

Le schéma est familier. Cryptopolitan a précédemment rapporté le cas de Moonwell, où un attaquant a utilisé environ 7 millions de $ pour faire monter le token illiquide MAMO d'un facteur huit, avant d'emprunter près de 10 millions de $ d'actifs réels et de s'échapper finalement avec près de 6 millions de $.

Selon Nethermind, ce type d'attaques fonctionne ainsi : « ils forcent le contrat à calculer un prix faussé et l'exploitent avant la fin de la transaction. » Ajna a supprimé l'oracle, mais ses contrats doivent encore faire confiance à leurs propres calculs.

L'architecture de la V2, véritable enjeu de l'affaire

Ajna V2 affiche actuellement environ 450 000 $ de TVL contre 30 200 $ de prêts actifs, avec une TVL en baisse de 17,1 % sur 30 jours.

Une statistique analytique notable est que les prêts actifs ne représentent qu'environ 6,7 % de la TVL rapportée. Cela affine la question centrale de l'enquête : l'exploit présumé affecte-t-il la comptabilité de la dette en cours, la liquidité déposée, ou les deux ? En d'autres termes : « Quelle hypothèse la V2 a-t-elle introduite qu'un attaquant pouvait transformer en argent ? » Un audit post-incident ou une divulgation technique détaillée identifiant la faille comptable exacte déterminera si la vulnérabilité est spécifique à la logique de buckets et de liquidation de la V2 ou révèle quelque chose de plus profond dans le modèle sans oracle lui-même.

Un petit pool dans une année record d'exploits

La perte de 775 000 $ est modeste comparée aux plus importants piratages crypto de 2026, mais elle s'inscrit dans une tendance plus large.

TRM Labs a recensé 207 piratages au premier semestre — le nombre le plus élevé jamais enregistré sur une période de six mois — avec un incident type coûtant environ 219 000 $. Plus de 100 d'entre eux impliquaient des exploits de contrats intelligents plus modestes. Les compromissions d'infrastructure et opérationnelles ne représentaient qu'environ 15 % des incidents, mais totalisaient environ 76 % des pertes.

Ajna illustre une autre dimension du problème de sécurité : les pertes n'ont pas besoin de provenir de violations spectaculaires d'exchanges ou de clés privées compromises. Elles peuvent émerger des hypothèses enfouies dans la logique de prêt DeFi de plus en plus complexe. Pour les protocoles plus petits, où une perte à six chiffres peut dépasser les dépôts totaux, cette leçon revêt un poids proportionnellement plus grand.