WUSD.fi Attaque de Sybil Farming Vide $200K des pools GLOVE

Une attaque de farming sybil sur WUSD.fi et GLOVE a drainé environ $200K des pools de liquidité Uniswap V3 sur Ethereum. Aucune audit n’a détecté la faille du mécanisme de récompense.

Quelqu’un a compris la logique avant que le protocole ne le fasse. Le 25 mai, un seul attaquant s’est enfui avec environ $200K de deux pools Uniswap V3 liés au protocole WUSD.fi et GLOVE sur Ethereum. Ce n’est pas exactement une erreur dans le code du contrat. Plus une question de mécanisme de récompense qui n’a jamais demandé qui il récompensait.

Le chercheur en sécurité blockchain exvulsec a signalé l’incident sur X, en détaillant la piste complète sur la chaîne. L’attaquant a utilisé un prêt flash, a tourné à travers des portefeuilles fraîchement créés, et a déversé les tokens GLOVE récoltés dans les pools de liquidité avant que quiconque ne s’en aperçoive.

Le mécanisme que personne n’a testé en conditions réelles

Dans le contrat de WUSD.fi se trouve une fonction appelée WUSD._englove. Selon exvulsec sur X, tout portefeuille neuf enveloppant au moins 100 WUSD tout en détenant moins de 2 GLOVE pouvait appeler Glove.mintCreditless et recevoir jusqu’à 2 tokens GLOVE. Pas de vérification d’identité. Pas de limite de taux. Rien.

L’attaquant a déployé des contrats auxiliaires EIP-7702, a obtenu un prêt flash Morpho USDT, puis a effectué des cycles répétés d’enveloppement et de déenveloppement à travers des adresses de portefeuilles fraîchement créées. Chaque nouvelle adresse se qualifiait à nouveau. GLOVE continuait à se mint.

Les GLOVE récoltés ont été directement envoyés dans Uniswap V3. Le pool GLO-USDC a perdu 11 702 USDC en drains observables. Le pool GLO-USDT a perdu 8 079 USDT. Les deux chiffres ont été confirmés via Etherscan au moment du rapport.

Ce que la communauté a remarqué

SecureAI sur X l’a dit simplement : l’exploit ne venait pas du contrat lui-même. C’était la conception du mécanisme de récompense. Les audits examinent généralement la logique du code. Ils testent rarement les chemins d’incitation économique comme le ferait un attaquant.

Le compte crypto en chinois aegixe_cn sur X l’a qualifié d’autre attaque d’abus d’incitation et a averti les utilisateurs de comprendre la mécanique d’un protocole avant d’y mettre de l’argent. Ce genre de rappel a une autre résonance quand $200K a déjà quitté le pool. Les exploits DeFi s’accumulent cette année, avec seulement le mois de mai plusieurs incidents de couches de liquidité à travers Ethereum.

Pas de manipulation d’oracle. Pas de réentrancy. Juste une fonction de mint qui distribue des tokens à quiconque se présente avec une nouvelle adresse. L’attaque a continué tant que de nouvelles adresses se qualifiaient. Et elles se sont qualifiées, dans un pattern qui a coûté près de $770M en 2026 à la DeFi. Selon les dépôts.