Swell a suspendu les dépôts et les retraits de ses tokens swETH et rswETH après que des chercheurs ont averti que les clés hot administratives et opérationnelles semblaient compromises et que les taux d'échange des tokens étaient majorés sans contrepartie d'Ether.

Le protocole de staking liquide a annoncé la suspension le 23 octobre, indiquant qu'il travaille avec des partenaires de sécurité, dont Seal911, pour sécuriser son infrastructure et ramener la valeur nette d'inventaire (NAV) à son niveau correct, selon la mise à jour officielle du protocole.

Ce gel a fait suite à une journée d'alertes de chercheurs on-chain signalant que les majorations de taux non adossées avaient atteint le maximum on-chain et que des contrats d'upgrade capables de drainer environ 2 500 ETH avaient été préparés, sans être mis en file d'attente.

Des chercheurs signalent des clés hot compromises et des upgrades préparés

Le 22 octobre, le chercheur en sécurité Spreek a signalé que les clés administrateur des tokens swETH et rswETH de Swell DAO semblaient compromises et que des attaquants augmentaient la NAV jusqu'à 1 % par heure sans adossement. Selon Spreek, quatre contrats d'upgrade malveillants avaient été déployés mais n'étaient pas encore mis en file d'attente via le multisig, et ces contrats pouvaient voler environ 2 500 ETH. Spreek a publié un rapport d'incident sur la compromission des clés hot et a précisé que Claude avait rédigé une partie de ce rapport, ce qui signifie que certains détails restaient non vérifiés — même si les principales affirmations on-chain semblaient solides.

La chronologie du rapport situe la première activité anormale vers 14 h 25 UTC le 21 octobre, lorsque le bot oracle compromis a alimenté un portefeuille de déploiement. Plus tard dans la journée, le gas a été balayé depuis des dizaines de clés hot de Swell — des clés opérationnelles connectées à Internet, par opposition au stockage à froid hors ligne — sur Ethereum, Arbitrum, HyperEVM et Base vers un portefeuille d'attaquant central.

À partir de 23 h 02 UTC, les taux d'échange de swETH et rswETH ont commencé à augmenter par paliers de 1 % par heure — le maximum du contrat — sans qu'aucun ETH correspondant n'accompagne ces hausses. Des exemples de transactions de majoration incluent swETH à 23 h 02 et rswETH à 23 h 35. Le rapport indique également que le bot a redirigé les réclamations de récompenses EigenLayer de dizaines de StakerProxies rswETH vers le même portefeuille.

Quatre charges utiles d'upgrade ciblant swEXIT, rswEXIT et les gestionnaires de dépôt aura ajouté un chemin de balayage si elles avaient été installées. De telles charges utiles ne prennent effet qu'une fois mises en file d'attente via le multisig et après l'expiration d'un délai de timelock, ce qui explique pourquoi l'état « préparé mais non mis en file d'attente » était important : les contrats existaient on-chain mais ne pouvaient pas encore agir. Un lien vers la plateforme Railway a été évoqué dans le rapport à titre de spéculation uniquement ; Spreek a déclaré qu'il n'y avait aucune preuve concrète et que cela semblait être une coïncidence de calendrier.

La première réponse de Swell, puis le gel

Quelques heures après les publications des chercheurs, Swell a déclaré être au courant d'une activité suspecte sur les contrats swETH et rswETH et enquêter avec des partenaires de sécurité. L'équipe a souligné qu'aucun ETH n'avait quitté les contrats de retrait ou de dépôt de swETH ou rswETH, et que les détenteurs n'avaient aucune action à entreprendre à ce stade.

Le suivi du 23 octobre a renforcé le périmètre. Les dépôts et les retraits des deux tokens ont été suspendus, et Swell a cité Seal911 parmi ses partenaires, affirmant que tous les fonds étaient en sécurité. Le protocole a indiqué que la réinitialisation de la NAV à sa valeur correcte était l'étape suivante avant de rouvrir les canaux de dépôt et de retrait. Swell a également averti les utilisateurs que le risque de phishing était élevé et de ne se fier qu'aux canaux officiels. Les jalons concrets à venir sont ceux déjà consignés : la réinitialisation de la NAV, la réouverture des dépôts et des retraits, et — vérifiable on-chain — la suppression des quatre charges utiles d'upgrade préparées et la rotation des clés affectées.

Pourquoi cette suspension est importante

Cet épisode souligne que le risque des tokens de staking liquide (LST) ne se limite pas aux exploits de contrats intelligents — il dépend aussi de qui détient les clés qui font bouger le taux.

swETH et rswETH sont des reçus de staking liquide et de restaking. Lorsqu'un bot oracle peut majorer le taux d'échange sans nouvel ETH en contrepartie, les marchés secondaires et les plateformes de prêt qui lisent getRate() héritent d'un prix faussé. Et lorsque des charges utiles d'upgrade sont prêtes pour un timelock, le prochain mode de défaillance est une installation privilégiée, pas un leurre de phishing grand public.

Le gel de Swell stoppe les nouveaux dépôts et retraits pendant que les partenaires s'efforcent de défaire la majoration non adossée et de faire tourner les clés compromises. La rotation des clés est la remédiation standard en cas de compromission de clés hot, car le remplacement des identifiants permet au protocole de révoquer l'accès en écriture au taux. C'est un langage de confinement, ce qui n'équivaut pas à dire que la surface d'attaque n'a jamais été ouverte.

La séquence — d'abord un fil de chercheur, puis une déclaration « les fonds sont en sécurité », puis la suspension — est familière dans les incidents de sécurité de protocoles. La technologie du staking liquide évolue sans cesse, mais les clés hot compromises restent capables d'en écrire le prochain chapitre.

Source : Live Bitcoin News