Swell, le protocole de staking liquide Ethereum, a suspendu les dépôts et retraits de ses tokens swETH et rswETH après que les contrats ont commencé à afficher des taux d'échange bien supérieurs aux niveaux normaux. La suspension a été annoncée tôt vendredi 23 octobre, et les deux fonctions restent fermées pendant que l'équipe s'efforce de corriger les taux.

Le staking liquide permet aux utilisateurs de miser de l'ETH tout en détenant un token échangeable en retour, et swETH et rswETH sont respectivement les tokens de staking liquide et de restaking liquide de Swell. Chacun porte un taux d'échange qui augmente à mesure que les récompenses de staking s'accumulent, et ce taux détermine la quantité d'ETH qui entre ou sort des contrats lors des dépôts ou des retraits.

Le taux affiché par le contrat swETH a grimpé à environ 6 % au-dessus de sa dernière valeur normale, tandis que le rswETH se situait environ 5 % au-dessus de la normale. Swell a indiqué qu'aucun ETH n'avait quitté les contrats concernés, mais il n'a pas confirmé la cause ni précisé quand les dépôts et retraits reprendront.

Des taux d'échange supérieurs aux niveaux normaux

Swell a annoncé la suspension à 2 h 39 (heure de l'Est) vendredi et a indiqué que sa prochaine étape consiste à ramener la valeur nette d'inventaire (NAV) des deux tokens à son niveau correct. Les dépôts et retraits resteront fermés jusque-là. Les taux de ce type de token n'augmentent normalement que lentement, à mesure que les récompenses de staking s'accumulent, ce qui explique pourquoi des lectures plusieurs points de pourcentage au-dessus de leurs dernières valeurs normales ont attiré l'attention.

À 16 h 48 (heure de l'Est), une lecture des contrats par Unchained montrait le swETH à environ 1,203 ETH et le rswETH près de 1,138 ETH. L'analyste on-chain Spreek avait identifié les dernières valeurs normales à 1,133 ETH et 1,082 ETH respectivement.

Sur les échanges décentralisés, le swETH se négociait près de 1,089 WETH dans un pool Uniswap doté d'environ 143 000 $ de liquidité, tandis que le rswETH s'échangeait près de 1,029 WETH sur Curve. Les deux prix de marché se situent en dessous des taux affichés par les contrats.

Selon DefiLlama, le swETH détient environ 29 millions de dollars de valeur totale, et le token rswETH en détient à peu près autant. Comme les deux tokens se négocient et circulent également sur des marchés externes, l'exposition s'étend au-delà des propres contrats du protocole. Swell n'a jusqu'ici donné aucune consigne concernant la négociation ou la fourniture de liquidité pour l'un ou l'autre actif.

Compromission présumée des clés d'administration, cause non confirmée

Spreek a publié mercredi 21 octobre que les clés d'administration des deux tokens semblaient compromises. Les clés d'administration déterminent qui peut mettre à niveau les smart contracts d'un protocole, tandis qu'un multisig exige l'approbation de plusieurs signataires autorisés avant toute transaction Il a écrit que la NAV augmentait alors de « max 1 % (non adossé) par heure ». Il a également identifié quatre contrats de mise à niveau malveillants capables de saisir environ 2 500 ETH, bien qu'aucun n'ait été soumis via le multisig de Swell.

Odysseus, fondateur de Phylax Systems, a décrit l'incident comme un « abus de clé BOT » et ajouté que les 2 513 ETH détenus « ne constituent PAS une perte confirmée ». Ses commentaires sont intervenus peu après la première alerte de Spreek.

Swell a répondu à 23 h 03 (heure de l'Est) qu'il travaillait avec des partenaires en sécurité. L'équipe a déclaré qu'« aucun ETH n'a quitté » les contrats de retrait ou de dépôt swETH ou rswETH, et a ensuite écrit : « Tous les fonds sont en sécurité. » Elle a également averti que ce type d'événement s'accompagne généralement d'une recrudescence des tentatives de phishing.

Lien possible avec Railway

Les deux chercheurs ont évoqué un lien possible avec Railway, une plateforme de déploiement cloud que les développeurs utilisent pour créer et héberger des applications. Railway a indiqué dans une divulgation du 21 octobre qu'un « tiers non autorisé » aurait pu lire certaines de ses variables d'environnement chiffrées — un endroit courant pour les plateformes afin de stocker des identifiants sensibles tels que des clés API. La divulgation ne mentionne pas Swell, et Swell n'a confirmé aucune connexion entre les deux événements.

Le rapport de Spreek, qu'il a dit avoir été rédigé par une IA et non entièrement vérifié, a révélé qu'Aave, Spark et Fluid n'acceptaient ni l'un ni l'autre des deux tokens. Un marché Morpho disposait d'environ 34 ETH disponibles à l'emprunt.

Au moment des dernières informations, les fonctions de dépôt et de retrait restent suspendues, et Swell n'a pas fourni de calendrier pour le rétablissement des opérations normales. Les questions en suspens sont celles soulevées depuis la première alerte de Spreek : la compromission présumée des clés d'administration sera-t-elle confirmée, les quatre contrats de mise à niveau signalés atteindront-ils un jour le multisig de Swell, et les taux affichés pourront-ils être corrigés à leurs dernières valeurs normales — 1,133 ETH pour le swETH et 1,082 ETH pour le rswETH — avant la réouverture des dépôts et des retraits.