Un bot MEV connu sous le nom de Yoink a pris de vitesse une exploitation rsETH signalée sur Ethereum le 15 septembre 2026, retirant près de 2 900 rsETH d'une valeur d'environ 7,8 millions de dollars avant que la transaction d'attaque initiale ne puisse s'exécuter, selon les données on-chain et les chercheurs en sécurité.

Points clés

• Le bot MEV Yoink a pris de vitesse une exploitation rsETH signalée, décrochant la position zéro dans le bloc 25980525 d'Ethereum le 15 septembre 2026.
• Etherscan enregistre le retrait par le bot de 2 899,99 rsETH (7 476 833,83 $) depuis Aave, puis le transfert de 2 882,37 rsETH (7 431 373,16 $) vers une adresse externe.
• L'identité du propriétaire du portefeuille Safe et le contrôleur ultime de l'adresse de réception restent non confirmés par une déclaration de première main.

rsETH est un token de restaking liquide émis sur Ethereum, représentant des positions ETH mises en jeu qui génèrent du rendement supplémentaire via des protocoles de restaking. Le MEV, sigle de « maximal extractable value », désigne le profit capté en réordonnançant, insérant ou censurant des transactions au sein d'un bloc. Son intégration profonde avec des marchés de prêt tels qu'Aave signifie que des positions importantes peuvent être retirées ou liquidées via des appels de contrats intelligents, créant une surface de cible que les bots MEV surveillent activement dans le mempool public.

Première attribution publique

La société de sécurité PeckShield a été l'une des premières à caractériser publiquement l'événement, le décrivant comme une prise de vitesse d'une exploitation rsETH d'environ 7,81 millions de dollars sur Ethereum.

#PeckShieldAlert MEV bot yoink front-runs a ~$7.81M $rsETH exploit on Ethereum pic.twitter.com/vAJwsCOfsQ

— PeckShieldAlert (@PeckShieldAlert) 15 septembre 2026

Source : @PeckShieldAlert sur X

La séquence des transactions

Selon les enregistrements Etherscan pour le bloc 25980525, la transaction de Yoink s'est exécutée à 04 h 38 min 47 s UTC le 15 septembre 2026. Le bot a retiré 2 899,999999999997756819 rsETH, d'une valeur de 7 476 833,83 $ à l'exécution, depuis Aave.

Yoink a ensuite transféré 2 882,37 rsETH, d'une valeur de 7 431 373,16 $, vers l'adresse 0xC70f00CD7E461686b04B0E912E309becA8b80ea0. L'identité et le contrôleur ultime de cette adresse de réception n'ont pas été établis par les éléments disponibles.

The Defiant a rapporté que Yoink et la transaction d'attaque initiale ont atterri dans le même bloc Ethereum, Yoink occupant la position zéro et la transaction de l'attaquant initial échouant. Atteindre la position zéro d'un bloc nécessite de soumettre une transaction avec des frais de priorité plus élevés ou d'utiliser un relais privé, une technique courante parmi les opérateurs MEV professionnels.

Ce qui reste non confirmé

La société de sécurité Blockaid a déclaré que son système de détection d'exploitations avait signalé une exploitation sur le portefeuille Safe d'un utilisateur non identifié sur Ethereum, faisant état d'environ 7,73 millions de dollars de pertes confirmées en rsETH. Blockaid n'a pas nommé publiquement le propriétaire du Safe.

Plusieurs rapports secondaires ont attribué le Safe concerné à Kelp DAO et affirmé que le protocole avait gelé les fonds associés. Aucune déclaration de première main de Kelp DAO, Safe, Aave ou du propriétaire du portefeuille n'a été vérifiée dans les éléments disponibles. Ces affirmations doivent être considérées comme non confirmées.

Ce que l'exploitation rsETH signifie pour les utilisateurs et protocoles DeFi

Risque d'exécution dans les mempools publics

L'incident illustre une tension structurelle dans le mempool public d'Ethereum : toute transaction diffusée sans infrastructure de relais privé est visible par les bots MEV avant son inclusion. Dans les incidents de sécurité DeFi, cela joue dans les deux sens. Un bot prenant de vitesse une exploitation peut empêcher un attaquant désigné de capturer des fonds, mais le bot conserve lui-même les produits sans les restituer à la partie affectée. Les précédents sont mitigés : lors d'exploitations DeFi antérieures, les bots MEV ayant pris de vitesse des attaquants ont dans certains cas restitué les fonds capturés par la suite, et aucune telle démarche n'a été annoncée dans ce cas.

L'issue ici, où environ 7,4 millions de dollars ont été déplacés vers une adresse dont la propriété est inconnue, reflète les schémas observés lors d'incidents DeFi antérieurs. Une précédente exploitation d'un pont DeFi impliquant de faux tokens BTC a de la même manière démontré comment des flux de tokens non autorisés peuvent se propager en cascade à travers des couches de protocoles interconnectées avant toute réponse humaine possible.

Leçons de sécurité protocol

L'utilisation d'un portefeuille multisig Safe comme victime apparente est notable. Safe est largement déployé par les DAO et les participants DeFi institutionnels précisément parce qu'il exige plusieurs signataires. Une exploitation ciblant un Safe suggère soit une clé de signataire compromise, soit une transaction malveillante approuvée à la majorité, soit une vulnérabilité de module, plutôt qu'une simple compromission de clé privée.

Le rôle d'Aave en tant que couche de liquidité depuis laquelle le rsETH a été retiré souligne le risque cumulatif de l'utilisation de tokens de restaking liquide comme garantie sur les marchés de prêt. Des tailles de positions suffisantes pour produire 7,4 millions de dollars en un seul retrait constituent intrinsèquement des cibles MEV attractives, que la transaction déclenchante soit une exploitation ou une liquidation de routine. Les équipes protocolaires évaluant des risques de garantie similaires sur d'autres chaînes font face à une exposition comparable au mempool.

Les limites de l'attribution on-chain

Au moment de la publication, Ethereum se négociait à 2 412,37 $, en hausse de 0,14 % sur 24 heures, l'indice global du sentiment du marché crypto affichant 51 (Neutre). Le contexte macroéconomique n'a pas amplifié l'impact immédiat de l'incident sur le prix du rsETH ou de l'ETH.

Les données on-chain peuvent confirmer ce qui a été déplacé, quand, et vers quelles adresses, mais elles ne peuvent pas confirmer l'intention, l'attribution protocolaire ou la récupération des fonds sans divulgation off-chain. Tout mouvement ultérieur du rsETH transféré serait visible sur les explorateurs de blocs publics, mais rattacher des noms ou des responsabilités à ces transferts nécessiterait toujours une déclaration de première main. Tant que le propriétaire du Safe, Kelp DAO s'il est impliqué, ou le contrôleur de l'adresse de réception ne se manifeste pas, la destination finale des environ 7,4 millions de dollars en rsETH demeure une question ouverte pour l'écosystème DeFi d'Ethereum.

---

Avertissement : Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre des décisions.

Source : AI Crypto Core