Des allégations d'exploit visant Papertrade ont émergé le 11 octobre, centrées sur deux portefeuilles qui auraient chacun passé environ 20 millions de dollars d'ordres en Ether sur Hyperliquid. L'utilisateur X Boblob (@Dr_bobo54) a affirmé que ces transactions avaient déplacé les cotations ETH de 0,1 % à 0,2 %. Les mêmes portefeuilles auraient détenu des positions longues à effet de levier sur Papertrade, avec une exposition nominale combinée de plusieurs centaines de millions de dollars.

Le trader Rune (@RuneCrypto_) a partagé l'avertissement, pointant vers les divulgations de risques publiées par Papertrade elle-même :

the docs itself exposed the “exploit” risk pic.twitter.com/0q2EdyYLVA — Rune (@RuneCrypto_) October 11, 2026

Lien direct vers la publication : https://x.com/RuneCrypto_/status/2109087204870131974?ref_src=twsrc%5Etfw

Au moment des rapports publiés ce jour-là, aucune analyse indépendante n'avait confirmé la manipulation, les identités des portefeuilles ou d'éventuels profits ou pertes, et Papertrade n'avait pas publié de réponse publique confirmée. Les allégations portent sur la conception tarifaire du protocole, qui dépend de prix générés en dehors de son propre système, et l'impact sur le marché reste incertain.

Les allégations d'exploit Papertrade portent sur des transactions ETH de 20 M$

Le chercheur a indiqué que les ordres avaient déplacé les cotations ETH d'environ 10 à 20 points de base. Un point de base équivaut à 0,01 %, soit un mouvement d'environ 0,1 % à 0,2 %. Il a affirmé que les mêmes portefeuilles détenaient des positions longues sur Papertrade, avec une exposition nominale combinée de plusieurs centaines de millions. Les positions longues peuvent amplifier de petites variations de cotation lorsque l'exposition notionnelle dépasse largement la marge déposée par le trader.

Rune a signalé le risque d'exploit dans la documentation de risques de Papertrade elle-même. Les premiers rapports n'incluaient toutefois ni adresses de portefeuilles, ni hash de transactions, ni analyse de transactions indépendante. L'exploit reste non vérifié, et les affirmations publiques n'ont pas établi qu'un compte ait profité de ces mouvements de prix.

Papertrade a récemment été lancé sur HyperEVM, l'environnement de contrats intelligents connecté à Hyperliquid. Plutôt que d'apparier les utilisateurs via un carnet d'ordres, le protocole règle des swaps synthétiques entre chaque trader et son pool de liquidité. Lors de l'ouverture ou de la fermeture d'une position, le protocole aurait lu le meilleur bid et le meilleur ask d'Hyperliquid et utiliserait leur point médian comme prix d'exécution. La plateforme prend en charge un effet de levier allant jusqu'à 1 000 fois sur les marchés Bitcoin et Ethereum pris en charge. Cette structure fait du point médian signalé, plutôt que du prix d'exécution propre duefeuille sur Hyperliquid, l'entrée qui détermine les valeurs d'entrée et de sortie d'une position Papertrade — c'est pourquoi des ordres passés sur une autre plateforme ont suscité un examen minutieux dès le départ.

La théorie de l'exploit repose sur l'utilisation du point médian d'une autre plateforme comme prix de référence. Un nouvel ordre peut déplacer le meilleur bid ou ask avant son exécution, et Rune a soutenu qu'un tel mouvement pourrait modifier le prix coté par Papertrade pendant qu'une position bien plus importante reste ouverte. La documentation identifierait la manipulation du meilleur bid et ask comme un risque non résolu, bien que cette divulgation ne prouve pas que les portefeuilles suspectés l'aient exploité. Pour les protocoles on-chain qui fixent le prix de leurs transactions à partir d'une plateforme externe, l'exposition est structurelle plutôt qu'incidente : leurs cotations héritent de tous les mouvements intervenant sur le marché source.

Les dispositifs de protection des prix d'Hyperliquid diffèrent du BBO de Papertrade

L'exploit allégué concerne la manière dont le protocole utilise des prix externes, et non une preuve de faille des systèmes natifs d'Hyperliquid. BBO signifie best bid and offer (meilleur bid et ask). Les perpetuals natifs d'Hyperliquid utilisent des prix oracle et des prix mark distincts pour leurs dispositifs de protection commerciale. Son prix oracle est une médiane pondérée des prix des plateformes centralisées et se met à jour environ toutes les trois secondes. Le prix mark combine plusieurs entrées, notamment les prix du carnet d'ordres d'Hyperliquid et des données provenant d'autres plateformes de trading, et Hyperliquid l'utilise pour calculer les profits et pertes non réalisés, déterminer les exigences de marge et déclencher des liquidations. Le point médian signalé de Papertrade sert à une fonction différente : il détermine les entrées et sorties des transactions synthétiques. La distinction importe pour évaluer quel système a pu être affecté.

Une description distincte, sans lien, de PaperJet indique que le pool de liquidité de Papertrade démarre à zéro et s'accroît grâce aux pertes réalisées des traders. Elle indique également que les clôtures bénéficiaires peuvent attendre dans une file d'attente si le pool manque de fonds, que les tokens PAPER peuvent être émis après des pertes de trading admissibles, et que les stakers peuvent recevoir des distributions en USDC. Selon cette description, le paiement d'un trader dépend de la disponibilité des fonds du pool plutôt que d'une contrepartie appariée, puisque le protocole règle contre son propre pool au lieu d'un carnet d'ordres. Ces mécanismes décrivent d'éventuelles contraintes de règlement, et non des effets confirmés des allégations actuelles.

Un épisode comparable concernait un contrat perpetual SK Hynix lié à Hyperliquid, qui avait chuté de 17,9 % en juillet après qu'une transaction sud-coréenne inhabituelle eut affecté sa référence de prix externe. Trade.xyz a ensuite déclaré qu'il couvrirait les pertes de liquidation admissibles. Ce cas impliquait un contrat et un dispositif tarifaire différents, et il ne confirme pas les allégations visant Papertrade.

Les rapports publiés le 11 octobre n'ont pas établi si l'exploit allégué avait affecté le pool, et ils ont laissé les retraits et les réclamations en file d'attente non confirmés. Ils ne comportaient pas non plus d'identités de portefeuilles vérifiées, de montant des pertes, de plan d'indemnisation ni de calendrier pour modifier le système de tarification basé sur le point médian. Les éléments susceptibles de résoudre ces questions en suspens sont une réponse confirmée de Papertrade, une analyse on-chain au niveau des portefeuilles et toute modification divulguée de la manière dont le protocole détermine son prix d'exécution.

Source : Blockonomi, Des allégations d'exploit Papertrade font suite à des transactions ETH de 20 M$ sur Hyperliquid