Une perte de 91 000 $ à l'origine d'une décision bien plus grave

Full Sail a révélé un incident de sécurité le 29 août et suspendu l'activité du protocole pendant son enquête. Le protocole a ensuite annoncé le 1er septembre qu'il mettrait fin à ses opérations sur Sui, recentrant son activité du fonctionnement des coffres vers le remboursement des utilisateurs concernés. Les arrêts progressifs de ce type restent rares dans la DeFi, où les équipes patchent plus souvent la vulnérabilité et relancent le protocole — ce qui rend la disproportion entre l'ampleur de la perte et la décision prise un élément notable de cette histoire.

Dans ses mises à jour officielles sur l'arrêt progressif, Full Sail a indiqué qu'environ 91 000 dollars avaient été retirés de trois coffres automatisés. Le protocole a ajouté que la liquidité restante détenue par le protocole serait versée aux utilisateurs et que l'équipe absorberait tout déficit afin que les déposants de la communauté soient indemnisés en premier.

Perte directe sur les coffres : environ 91 000 dollars ont été retirés de trois coffres automatisés.

Engagement de remboursement : la liquidité détenue par le protocole et les fonds de l'équipe ont été engagés en faveur des déposants de la communauté.

Toujours inconnu : le protocole n'a pas divulgué le total des réclamations, la liquidité disponible pour le remboursement, ni les modalités de réclamation.

Full Sail n'a pas publié de bilan démontrant que la perte de 91 000 dollars à elle seule rendait impossible un redémarrage. La décision d'arrêter progressivement suggère plutôt que la perte directe n'était qu'une partie du problème. L'équipe doit également vérifier la dépendance aux données de prix, examiner les coffres concernés et décider si reconstruire le protocole de manière sûre et crédible a encore du sens.

Comment des données de prix non fiables rendent un coffre dangereux

Un oracle fournit à un contrat intelligent des informations qu'il ne peut pas obtenir par lui-même, notamment les prix des actifs. Un coffre peut calculer correctement chaque transaction par rapport au prix qu'il reçoit et produire néanmoins un résultat économique erroné si ce prix n'est pas fiable. Les défaillances d'oracle et la manipulation des flux de prix constituent une classe d'attaques de longue date dans la DeFi, et de nombreux protocoles atténuent ce risque en recoupant plusieurs flux indépendants — une question de conception directement pertinente lorsque la compromission d'un seul fournisseur peut se propager à toutes les chaînes qu'il dessert.

Valide onchain, dangereux en réalité

Un contrat ne connaît pas de manière indépendante le prix de marché d'un actif. Il agit selon le flux qu'il a été programmé pour accepter. Si cette donnée devient non fiable, une stratégie automatisée peut traiter une transaction comme valide onchain alors que les utilisateurs absorbent la perte économique.

Le problème d'oracle suspecté chez Full Sail est techniquement différent de la récente exploitation de gouvernance des coffres Term. Tous deux montrent toutefois que des contrats DeFi peuvent traiter une entrée compromise comme légitime et nuire malgré tout aux utilisateurs.

Full Sail a lié son incident à Switchboard. Dans ses mises à jour officielles sur l'incident, Switchboard a déclaré enquêter sur une compromission potentielle de ses implémentations basées sur Move et a suspendu les services concernés sur Aptos, Sui, IOTA et Movement. L'ampleur de cette suspension illustre l'exposition structurelle : un seul fournisseur d'oracle interrompant ses services sur quatre chaînes basées sur Move signifie que chaque protocole en aval sur ces chaînes a dû réévaluer simultanément sa dépendance aux données de prix. Aucune des deux équipes n'a publié d'analyse technique complète a posteriori, de sorte que le cheminement précis de l'exploitation et la responsabilité finale restent non confirmés.

L'application est en pause ; le mode retrait seul est la prochaine étape

L'avis de sécurité en direct de Full Sail indique que les dépôts et les retraits restent suspendus jusqu'à ce que l'intégrité de l'oracle soit rétablie et vérifiée. Ses mises à jour sur l'arrêt progressif précisent que les nouveaux dépôts et les réclamations de récompenses des fournisseurs de liquidité ont été désactivés, tandis que les pools réguliers devraient passer en mode retrait seul après les dernières vérifications de sécurité.

La bannière de l'application reflète le statut de sécurité actuel. Le mode retrait seul est la prochaine étape planifiée, et non une fonctionnalité active. Des instructions distinctes pour les retraits et les réclamations sont toujours en attente. La rapidité avec laquelle Switchboard achèvera son enquête et rétablira des services vérifiés sur Sui déterminera ce calendrier pour tout protocole qui en dépendait.

Ce que Full Sail doit encore publier

Full Sail a promis de placer les déposants de la communauté en premier. Les utilisateurs attendent encore cinq réponses concrètes avant de pouvoir juger cette promesse :

1. Le montant de liquidité détenue par le protocole disponible pour le remboursement.
2. La valeur totale des réclamations des utilisateurs concernés.
3. La date retenue pour calculer les soldes éligibles.
4. Le moment où commencera l'accès aux pools en mode retrait seul.
5. Le processus de réclamation et le traitement de tout déficit.

Tant que ce rapprochement n'est pas publié, le chiffre de 91 000 dollars décrit la brèche — et non ce que les utilisateurs concernés récupéreront.

Sources : Full Sail (mises à jour sur l'arrêt progressif, application en direct), Switchboard (mises à jour sur l'incident).