ICON, le projet blockchain derrière le token ICX, a déclaré qu’un attaquant avait rejoué des messages de retrait valides 1 492 fois lors d’un incident de sécurité survenu le 27 août 2026. Ces transactions répétées ont vidé des millions de tokens de portefeuilles détenus par la fondation, mais ICON affirme que la perte nette confirmée est bien inférieure aux montants bruts observés.

Une attaque par rejeu consiste à réutiliser une ancienne instruction légitime comme si elle était nouvelle. En termes simples, c’est un peu comme photocopier un chèque signé et l’encaisser plusieurs fois : l’autorisation est réelle, mais le paiement ne devrait avoir lieu qu’une seule fois. Pour un article connexe, voir Russia Expands Digital Ruble Access Through 12 Major Banks.

Ce qui s’est passé dans l’incident de rejeu d’ICON

ICON a indiqué que deux messages de retrait signés et auparavant légitimes ont été rejoués 1 492 fois entre 02:01:02 et 02:21:12 UTC le 27 août 2026, soit une fenêtre d’environ 20 minutes. Pour un article connexe, voir London Stock Exchange and Kraken Owner Payward Plan Tokenized UK Stocks Launch for 2027.

Parmi ces tentatives, ICON a indiqué que 1 490 appels ont abouti. Les deux messages autorisaient à l’origine de vrais transferts, de sorte que le réseau a traité chaque rejeu comme une demande valide.

Selon ICON, les rejoués réussis ont libéré 119 866 000 ICX et 531 600 bnUSD. Ces deux actifs provenaient de portefeuilles détenus par la fondation, et non d’utilisateurs ordinaires.

ICON a insisté sur le fait qu’aucun dépôt, solde ou position d’utilisateur n’a été accédé ni affecté. Comme les actifs prélevés appartenaient à la fondation, les détenteurs ordinaires d’ICX n’ont pas perdu de fonds directement dans l’exploitation.

Pourquoi le chiffre mis en avant ne correspond pas à la perte finale

Les montants de 119 866 000 ICX et 531 600 bnUSD décrivent ce qui a quitté les portefeuilles pendant l’attaque, et non les dommages finaux.

ICON a déclaré que la perte nette confirmée à ce jour est d’environ 150,2 ETH plus 31 204 USDC. L’exposition de 531 600 bnUSD a été entièrement récupérée.

Cette nuance est importante. Un montant brut élevé peut paraître alarmant, mais les efforts de récupération, les fonds gelés et les conversions d’actifs peuvent réduire fortement la perte réelle. Les lecteurs doivent donc considérer le chiffre de sortie comme la taille brute de l’incident, et non comme la perte permanente.

La même distinction explique aussi pourquoi les ICX déplacés sur la blockchain ne correspondent pas à une perte permanente. Selon le rapport post-mortem d’ICON, une grande partie des mouvements concernait des actifs de la fondation qui ont été suivis, contenus ou récupérés.

Les marchés ont néanmoins réagi. L’ICX s’échangeait autour de 0,0102899 $, en baisse de 26,33 % sur 24 heures, selon les données de marché CoinGecko citées dans l’étude.

Comment ICON et les plateformes ont réagi après l’exploitation

ICON a indiqué que sa première alerte de surveillance a été déclenchée à 02:08 UTC le 27 août 2026, quelques minutes après le début de la boucle de rejeu.

Les plateformes ont commencé à suspendre les dépôts et retraits d’ICX à 05:54 UTC, selon ICON. Le réseau lui-même a été interrompu à 06:18:54 UTC puis redémarré vers 07:51 UTC le 28 août 2026.

L’arrêt d’une blockchain est une mesure brutale mais efficace, car elle stoppe tous les transferts et empêche l’attaquant de déplacer davantage de fonds pendant qu’un correctif est préparé. Dans ce type d’incident, la rapidité est essentielle, car dès lors que des messages valides peuvent être réutilisés, chaque bloc ou fenêtre de transfert supplémentaire peut élargir l’exposition jusqu’au renforcement des contrôles.

Les plateformes ont également pris des mesures de précaution. Bitvavo, une plateforme crypto européenne, a indiqué que les dépôts et retraits d’ICX avaient été temporairement suspendus le 27 août 2026 et qu’ils étaient de nouveau disponibles le 31 août 2026 après la résolution de l’incident.

"As a precaution, ICX deposits and withdrawals have been temporarily suspended. Trading remains available for now." Bitvavo Status

"As a precaution, ICX deposits and withdrawals have been temporarily suspended. Trading remains available for now." Bitvavo Status

ICON a déclaré que son conseil juridique travaille avec les forces de l’ordre et que des avis de gel et de préservation ont été envoyés aux plateformes concernées. Au 1er septembre 2026, aucune communication réglementaire publique n’a été publiée.

Pour un détenteur d’ICX, le point pratique est simple : vérifiez que votre plateforme a rétabli les transferts d’ICX avant d’essayer de déplacer des fonds, et suivez les canaux officiels d’ICON pour les mises à jour sur les récupérations restantes et toute action des forces de l’ordre liée à l’affaire.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d’investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre une décision.