Le chercheur en sécurité Spreek a rapporté le 22 octobre qu’un acteur détenant les clés opérationnelles à chaud de Swell DAO avait relevé les taux de change de ses tokens de liquid staking swETH et rswETH jusqu’à la limite de 1 % par heure, sans nouvel ETH pour soutenir ces hausses.

Les taux de change des tokens de liquid staking n’augmentent normalement qu’à mesure que les récompenses de staking s’accumulent. Une hausse sans nouvel ETH sous-jacent porte donc le taux affiché au-delà de ce que les avoirs du protocole peuvent justifier. Ces informations sont apparues quelques heures après que la plateforme cloud Railway a révélé qu’un intrus pourrait avoir accédé à des secrets stockés par ses clients.

Cinq hausses de taux d’environ 1 % enregistrées sur les deux tokens

Spreek a partagé ces informations sur X à 01:28 UTC, écrivant que les clés administratives des deux tokens « semblent avoir été compromises (en lien avec Railway ?) ». Selon cette publication, les attaquants « augmentaient la NAV de 1 % au maximum (sans couverture) chaque heure ».

Le fondateur de Phylax Systems, Odysseus, a décrit cette activité comme un « abus des clés BOT », en comptabilisant trois hausses du taux du swETH et deux de celui du rswETH, d’environ 1 % chacune. Le code d’oracle publié par Swell limite la soumission des instantanés de réévaluation au seul rôle BOT. Ce bot fonctionne avec des clés à chaud, qui restent connectées et signent des transactions sans intervention humaine — une configuration qui place l’exactitude du taux on-chain entre les mains d’un unique ensemble d’identifiants constamment en ligne. Les plafonds de taux de ce type limitent l’ampleur du mouvement de prix qu’un oracle peut appliquer en une seule mise à jour ; ici, ils ont déterminé le rythme des hausses non autorisées.

Les données d’Ethereum montrent qu’une même adresse a soumis des instantanés du swETH à 23:02 UTC le 21 octobre, puis à nouveau à 00:04 et 01:08 UTC le 22 octobre. Les chiffres rapportés au 22 octobre placent le swETH environ 3,0 % au-dessus de 1.133254 ETH, tandis que le rswETH progressait d’environ 2,0 % par rapport à 1.082464 ETH.

Railway a déclaré le 21 octobre avoir observé une activité anormale dans des systèmes qui stockent les variables d’environnement des clients — un emplacement standard où les applications conservent leurs identifiants d’exécution — et qu’une partie extérieure pourrait avoir accédé au contenu déchiffré de certaines d’entre elles. Les secrets stockés comprennent des clés API et des identifiants de registre. La plateforme a gelé tous les déploiements et exhorté les utilisateurs à renouveler leurs secrets stockés.

Le même jour, l’enquêteur crypto Tay a déclaré qu’un attaquant avait drainé environ 371 000 $ de portefeuilles sur au moins 19 chaînes EVM en utilisant des clés stockées sur Railway. Aucun lien entre la faille de sécurité de Railway et l’incident touchant Swell n’a été confirmé.

Quatre contrats de mise à niveau malveillants pourraient transférer environ 2 500 ETH

Swell a déclaré sur X à 03:03 UTC le 22 octobre être au courant de signalements faisant état d’une « activité suspecte sur les contrats swETH et rswETH » et enquêter avec ses partenaires de sécurité. « Aucun ETH n’a quitté les contrats de retrait ou de dépôt du swETH ou du rswETH », a écrit l’équipe, ajoutant qu’aucune action n’était requise de la part des utilisateurs.

Le 23 octobre, Swell a suspendu les dépôts et les retraits de swETH et de rswETH, indiquant que ces fonctions reprendraient une fois la NAV revenue à sa valeur correcte. Le taux de change détermine la quantité d’ETH contre laquelle chaque token est converti lors d’un dépôt ou d’un retrait, d’où la nécessité de corriger ce chiffre avant leur réouverture.

Spreek a également rapporté que quatre contrats de mise à niveau malveillants avaient été déployés et pourraient transférer environ 2 500 ETH s’ils étaient exécutés. Odysseus a estimé que Swell détenait 2 513 ETH, tout en précisant que ce montant « ne constitue PAS une perte confirmée ». Aucun des contrats de mise à niveau n’avait été exécuté au moment des signalements, laissant leur statut, la correction de la NAV et tout lien confirmé avec l’incident Railway parmi les principaux éléments à surveiller.

Certains détails de cette analyse auraient été compilés avec l’aide de l’IA et restent non vérifiés.

Les taux gonflés présentent un risque de contagion pour les marchés de prêts

Seule une fraction des taux élevés serait reflétée dans les prix des DEX. Les produits de liquid staking et de liquid restaking de Swell détenaient chacun environ 29 millions de dollars de valeur totale bloquée au 23 octobre, tandis que les sources de données indiquent une capitalisation de marché du rswETH comprise entre 27 millions et 58 millions de dollars.

Sur un marché de prêts qui valorise le swETH ou le rswETH à partir du taux on-chain, le chiffre gonflé serait comptabilisé comme une garantie. Cryptopolitan avait déjà suivi une trajectoire de contagion similaire lorsque l’exploit visant le rsETH de KelpDAO s’était propagé aux marchés de prêts de couche 2. Des clés divulguées étaient également à l’origine de l’incident de l’extension Fearless Wallet, au cours duquel les clés privées d’utilisateurs de Polkadot avaient été envoyées au serveur d’un attaquant.