Exploit de 13,5 millions de dollars stoppé net

Un sac de stablecoins volés à six chiffres a rencontré une équipe de conformité plus rapide que l’exploit lui-même. Le portefeuille mobile Oobit a détecté, gelé et fermé une voie de sortie illicite en moins de deux heures — interceptant des fonds issus de la faille du contrat intelligent StablR de 13,5 millions de dollars en plein vol, avant qu’un seul satoshi ne touche des utilisateurs innocents.

🔹 L’attaque StablR s’est déroulée le 24 mai lorsque un attaquant a compromis une seule clé privée d’un portefeuille multisig faiblement configuré à 1 sur 3, obtenant le contrôle total de la création des contrats de stablecoins EURR et USDR. En environ trois heures, 8,35 millions d’USDR et 4,5 millions d’EURR ont été créés de toutes pièces et déversés sur des échanges décentralisés, provoquant une chute du USDR de 1,00 $ à aussi bas que 0,40 $ et une baisse d’environ 15-20 % de l’EURR sous son ancrage euro.

🔹 Les fonds volés ont tenté de sortir de l’écosystème via Oobit, le portefeuille mobile soutenu par un grand émetteur de stablecoins. L’équipe de conformité d’Oobit a immédiatement signalé l’activité anormale, gelé une somme à six chiffres en tokens EURR, et fermé complètement le canal de retrait — le tout en moins de deux heures après la détection. Aucun fonds utilisateur n’a été affecté, et les systèmes d’Oobit n’ont jamais été compromis.

🔹 La faille de StablR a suivi le schéma classique d’échec de gouvernance multisig qui a affecté plusieurs protocoles en 2026. Le seuil d’un signataire sur trois a réduit toute l’architecture de sécurité à la force d’une seule clé privée — et cette clé a été compromise. StablR, basé à Malte, une institution de monnaie électronique conforme à la réglementation MiCA, qui revendique une couverture fiat 1:1, a depuis suspendu toutes les émissions et rachats pour les tokens USDR et EURR.

🔹 Le détective on-chain ZachXBT a d’abord signalé l’exploitation en direct le 24 mai, et la société de sécurité blockchain Blockaid a confirmé l’attaque en cours peu après. L’attaquant a extrait environ 2,8 millions de dollars en ETH lors du déversement, malgré la création de 13,5 millions de dollars en valeur nominale, avec une faible liquidité sur les échanges décentralisés limitant la quantité pouvant être convertie avant que les prix ne s’effondrent. Oobit travaille désormais avec StablR et les enquêteurs pour gérer le processus de récupération ultérieur.

Deux heures entre détection et gel, six chiffres en stablecoins volés verrouillés, et aucun solde utilisateur touché. L’histoire de la sécurité en 2026 s’écrit non pas par les exploits eux-mêmes, mais par les équipes qui les arrêtent avant qu’ils ne se propagent. Comment lisez-vous cela — une victoire ponctuelle de conformité, ou un modèle pour la façon dont les rampes de sortie réglementées devraient défendre tout l’écosystème ?