Le protocole de prêt basé sur Solana Loopscale a suspendu ses opérations après une campagne d'attaque d'une semaine dirigée contre ses interfaces de programmation et ses Genesis Vaults, qui détiennent les dépôts des utilisateurs en SOL et USDC. Selon le protocole, ses API ont reçu plus de 30 000 requêtes malveillantes par jour au cours de cette campagne soutenue, que l'équipe attribue à un acteur sophistiqué. Les coffres touchés ont depuis été restaurés, et aucune perte sur les dépôts des utilisateurs n'a été signalée.

Une escalade de sécurité provoque une pause à l'échelle du protocole

Loopscale a déclaré que ses systèmes de sécurité avaient détecté une escalade significative de la campagne d'attaque au cours de la semaine écoulée, ce qui a conduit l'équipe à suspendre l'activité du protocole pour contenir la menace. Les attaquants ont spécifiquement ciblé les Genesis Vaults en SOL et USDC du protocole, et l'activité soutenue de requêtes faisait partie d'une campagne plus large attribuée à un attaquant sophistiqué. L'équipe a confirmé la suspension après avoir identifié des risques de sécurité accrus. Les API sont la couche d'interface par laquelle les applications et les services communiquent avec un protocole, ce qui signifie qu'une attaque à ce niveau peut perturber les opérations de la plateforme sans toucher directement les soldes on-chain — ce qui est cohérent avec le rapport de l'équipe indiquant que les dépôts des utilisateurs sont restés sécurisés tout au long de l'incident.

Le protocole a divulgué la campagne dans une déclaration publiée sur X le 5 novembre 2026 :

Au cours de la semaine écoulée, Loopscale a été ciblé par une campagne soutenue menée par un acteur sophistiqué, les API du protocole recevant plus de 30 000 requêtes malveillantes par jour. Tous les fonds déposés par les utilisateurs sont sécurisés. Plus tôt, nos systèmes de sécurité avaient détecté une escalade significative…

— Loopscale (@Loopscale) 5 novembre 2026

Une incohérence de prix sur le kySOL permet un emprunt de 4 597 SOL

Les chercheurs ont également découvert une exploitation du prix des garanties impliquant le kySOL, un token de liquid staking utilisé comme garantie au sein des coffres. Le prêt collateralisé dépend d'une évaluation précise des actifs déposés, car la capacité d'emprunt est calculée sur la base de cette évaluation — et les montants de tokens sont enregistrés numériquement, de sorte qu'une mauvaise interprétation des décimales peut fortement gonfler la valeur enregistrée d'une position. C'est cette dynamique qui était au cœur de l'exploitation : l'attaquant a présenté un seul token kySOL comme garantie zBTC, et une incohérence de décimales a ensuite fait bondir la valeur enregistrée du token.

Cette disparité de prix a permis à l'emprunteur de retirer 4 597 SOL en utilisant la garantie déformée. L'attaquant a ensuite transféré les fonds retirés hors du protocole via un bridge. Selon Loopscale, l'erreur de classification des garanties a faussé le processus d'évaluation du coffre, permettant à l'emprunteur d'accéder à des fonds contre des garanties incorrectement évaluées. Le protocole n'a pas repris ses opérations normales.

Les coffres touchés restaurés tandis que l'enquête se poursuit

Malgré l'exploitation, Loopscale a confirmé que les coffres touchés ont été intégralement rétablis. L'équipe a indiqué qu'aucun dépôt d'utilisateur n'a subi de pertes et a réitéré que tous les fonds déposés sont restés sécurisés pendant la suspension. En pratique, l'impact de l'incident a été opérationnel : les dépôts ont été restaurés même si la plateforme elle-même est restée hors ligne.

Le protocole prévoit de réactiver son interface sous peu, tandis que la fonctionnalité de remboursement devrait revenir dès que possible. Loopscale a déclaré que le rétablissement des remboursements reste une priorité, car il vise à aider à prévenir des liquidations imprévues pendant que la suspension demeure en vigueur. Les opérations normales resteront toutefois suspendues jusqu'à ce que l'enquête établisse l'étendue complète de la campagne. L'équipe a également l'intention de mettre en place un durcissement de sécurité supplémentaire avant de rouvrir le protocole, dans le cadre de son processus de rétablissement. Les jalons qui cadrent désormais la reprise sont le retour de l'interface, le rétablissement des remboursements, la cartographie complète de l'étendue de la campagne et les travaux de durcissement prévus avant toute réouverture.

Loopscale a identifié quatre adresses liées à l'attaque et collabore avec les forces de l'ordre fédérales et des professionnels de la sécurité. Les adresses publiées comprennent deux adresses au format Solana et deux adresses au format Ethereum. L'équipe n'a pas annoncé de date pour une reprise complète des opérations.

Deuxième incident lié aux prix depuis avril 2025

Le dernier incident fait suite à un précédent événement lié aux prix impliquant les mêmes Genesis Vaults en avril 2025, ce qui en fait le deuxième incident lié aux prix signalé affectant ces coffres depuis cette date. Cette récurrence place les mécanismes de tarification des coffres — l'élément exploité dans l'incident kySOL — et la couche API ciblée par la campagne de cette semaine sous surveillance tandis que les travaux de durcissement de l'équipe se poursuivent. Loopscale a déclaré qu'il continuerait de partager les informations pertinentes et les mises à jour importantes dès qu'elles seront disponibles.