WEMIX a suspendu des bridges et des services de trading décentralisés après qu’un attaquant a obtenu le contrôle propriétaire d’un contrat lié à son stablecoin WEMIX$ et a créé 5,225,525 tokens sans autorisation.

Les transactions anormales ont commencé à 09:17 UTC le 26 juillet, selon la mise à jour de WEMIX sur le problème de sécurité et les mesures de réponse (). L’attaquant a converti l’émission non garantie de WEMIX$ en 30,736 WEMIX et 724,198.27 USDC.e, puis a transféré l’USDC.e via des bridges vers Ethereum et BNB Smart Chain. Les fonds ont ensuite été échangés contre des ETH et des USDT, répartis entre plusieurs adresses, et partiellement déposés sur des plateformes d’échange centralisées.

Le montant de $5.23 million représente la valeur nominale de la création non autorisée du stablecoin au prix en dollar prévu pour WEMIX$. Les conversions confirmées ont abouti à un montant d’actifs liquides nettement inférieur avant que WEMIX ne suspende l’infrastructure affectée, ce qui souligne pourquoi les autorisations de création de stablecoins et les routes de bridge sont considérées comme des points de contrôle à haut risque dans la réponse aux incidents DeFi.

WEMIX avait déjà commencé à remplacer WEMIX$ par USDC.e dans ses services de jeux et de DeFi. Lors d’une transition en avril, le projet a retiré la liquidité fournie par la fondation et mis fin au support de plusieurs pools WEMIX$, selon son avis antérieur sur l’arrêt du support de WEMIX$ et la transition vers USDC.e ().

Bridges et pools de liquidité suspendus

Tous les bridges connectés à WEMIX3.0 ont été temporairement suspendus, notamment Chainlink CCIP et le PLAY Bridge. Le trading a également été interrompu dans les pools de liquidité affectés, la liquidité fournie par la fondation a été retirée, et des services comprenant le WEMIX$ Module et la plateforme d’échange décentralisée PNIX ont été suspendus.

L’enquêteur on-chain Specter a signalé une adresse commençant par 0xc921a66e lors du premier suivi public des transactions sur X : https://x.com/SpecterAnalyst/status/2081336820642484659. WEMIX a ensuite identifié des portefeuilles supplémentaires et demandé des gels auprès de plateformes d’échange centralisées et d’émetteurs de stablecoins. Certaines adresses avaient déjà été restreintes tandis que les efforts de récupération se poursuivaient.

La méthode exacte utilisée pour obtenir la propriété du contrat reste en cours d’enquête. WEMIX a déclaré avoir fait appel à des spécialistes externes de la sécurité et élargi son examen à des contrats connexes dotés de contrôles administratifs similaires. L’examen de contrôles similaires est important, car les permissions de niveau propriétaire peuvent affecter l’émission de tokens, la gestion de la liquidité ou les fonctions d’urgence, selon la conception de chaque contrat.

Deuxième faille majeure de WEMIX en 17 mois

La prise de contrôle du contrat fait suite à l’exploit du PLAY Bridge de février 2025, au cours duquel des identifiants d’authentification volés avaient permis de retirer 8,654,860 WEMIX, alors d’une valeur d’environ $6.1 million, depuis un coffre de bridge.

L’incident WEMIX est également survenu après un drainage multichaîne de plus de $9.7 million depuis des portefeuilles liés à Triple-A, où des actifs ont été déplacés depuis TRON, Ethereum, Polygon et Arbitrum avant d’être consolidés en 5,227 ETH. Une importation malveillante de bridge a séparément libéré $7.54 million depuis le Verus Ethereum Bridge, tandis qu’une faille de signature antérieure avait permis à 515 million NIGHT de quitter la trésorerie du bridge Cardano de Wanchain. Ensemble, ces incidents illustrent une attention récurrente portée à la sécurité des infrastructures cross-chain, où des identifiants volés, une vérification défaillante ou un accès administratif compromis peuvent transformer une défaillance isolée en mouvements sur plusieurs réseaux.

Les bridges WEMIX3.0, les pools de liquidité affectés, le WEMIX$ Module et PNIX sont restés suspendus pendant l’examen de la compromission de propriété et des mouvements finaux d’actifs.