Un attaquant a retiré plus de 100 000 $ des réserves de GoodDollar en exploitant une faille du protocole Superfluid, affectant les fonds du projet sur la blockchain Celo. GoodDollar gère un programme de revenu universel de base qui distribue quotidiennement une petite quantité de son token G$ à près d’un million de personnes. La réserve ciblée soutient ce token.

Selon le rapport de CryptoSlate, qui citait une mise à jour de GoodDollar publiée le 9 septembre, le retrait rapporté des réserves était réparti entre Celo et le réseau XDC. Les chiffres n’ont pas été confirmés indépendamment sur la chaîne, et GoodDollar a déclaré qu’aucune des deux réserves n’avait été entièrement vidée.

Retraits rapportés des réserves

Selon le rapport, un attaquant a échangé 86 588 cUSD provenant de la réserve de GoodDollar sur Celo. Un second retrait de 20 857 $ provenait de la réserve du projet sur le réseau XDC. Les informations disponibles n’expliquent pas comment le retrait sur XDC était lié à la vulnérabilité associée à Celo.

Ensemble, les montants rapportés dépassent 100 000 $. Ils correspondent à des sorties de fonds rapportées et non à une perte nette finale confirmée.

Les membres de GoodDollar réclament chaque jour une petite quantité de G$. Le projet conserve des réserves pour soutenir le token, et ces réserves constituaient la source des fonds affectés par l’incident.

La faille de Superfluid a affecté le déploiement sur Celo

L’incident a été lié à Superfluid, un protocole qui permet les « flux monétaires », c’est-à-dire des paiements qui circulent continuellement au fil du temps. GoodDollar utilise Superfluid pour distribuer son revenu quotidien.

Dans une divulgation préliminaire publiée le 8 septembre, le Conseil de sécurité de Superfluid a déclaré qu’une « Super App » malveillante — un programme automatisé connecté à Superfluid — avait contourné le processus normal de liquidation des flux sur Celo.

En conséquence, les soldes de G$ qui auraient dû être liquidés sont restés disponibles. L’attaquant a ensuite échangé ces soldes contre des actifs de réserve de GoodDollar et d’autres pools de liquidité sur Celo, a indiqué le conseil.

Le Conseil de sécurité a déclaré que la vulnérabilité dépendait de la configuration spécifique de Superfluid sur Celo. Les autres réseaux utilisant Superfluid n’ont pas été affectés par cette faille particulière. GoodDollar a également attribué l’incident sur Celo à la faille de Superfluid.

GoodDollar a écrit sur X :

Update: The incident affecting GoodDollar on Celo was due to a bug in the Superfluid protocol that allowed a malicious Super App to bypass Superfluid’s normal stream liquidation process. As a result, G$ balances that should have been liquidated remained available, leaving more… — GoodDollar 💙🌏 (@gooddollarorg) September 9, 2026

La publication est disponible sur le compte X de GoodDollar.

Chronologie de la réponse

Le Conseil de sécurité a déclaré qu’une alerte d’infrastructure avait d’abord identifié des comptes Celo insolvables le 3 septembre à 19 h 11 UTC.

Superfluid a ensuite déployé un correctif d’urgence sur Celo et rétabli la liste blanche des Super Apps le 4 septembre à 14 h UTC. Tous les comptes insolvables ont été fermés une heure plus tard, à 15 h UTC.

Le conseil a également examiné les processus d’enregistrement des Super Apps sur tous les réseaux afin d’invalider les déployeurs autorisés inactifs ou inutilisés, selon le membre du conseil hellwolf. Cette vérification plus large n’indique pas que d’autres réseaux aient été exposés à la vulnérabilité spécifique à Celo.

Le conseil a déclaré que le chemin d’exploitation ne pouvait plus être reproduit après l’application du correctif.

Récupération et incertitudes restantes

Les sorties de fonds rapportées ne permettent pas d’établir l’impact financier final de l’incident. GoodDollar n’a pas indiqué quel montant, le cas échéant, pourrait être récupéré après les mesures correctives. Des pools de liquidité externes de G$ ont également été affectés, mais les pertes correspondantes n’ont pas été communiquées.

GoodDollar a déclaré que les réclamations sur Celo, les transferts de G$ et la vérification d’identité avaient repris, selon CryptoSlate. Toutefois, les opérations de réserve sur Celo et XDC, ainsi que les transferts inter-chaînes, restaient suspendus au 10 septembre.

Le projet a également conseillé aux utilisateurs de ne pas échanger de G$ pour le moment. Il a indiqué qu’une liquidité limitée pouvait entraîner un dérapage important et des prix inhabituels, provoquant l’exécution des transactions à des taux défavorables inattendus.

Plusieurs aspects de l’incident restent non résolus. Le lien entre la faille de Superfluid spécifique à Celo et le retrait sur XDC n’a pas été expliqué. La divulgation de Superfluid du 8 septembre était préliminaire, et le conseil a indiqué qu’un rapport technique complet suivrait. L’ampleur de l’exposition des réserves, les effets sur les utilisateurs et le montant final récupéré restent donc invérifiés.

Les faits rapportés décrivent l’état actuel de l’incident, mais n’établissent ni une perte nette finale ni l’issue du processus de récupération. L’avertissement de GoodDollar reste pertinent pour les utilisateurs détenant des G$ tant que les opérations de réserve et les conditions de liquidité sont perturbées.

Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d’investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants.