L'attaquant a exploité la fuite de la clé privée du déployeur de StakeDAO le 27 mai, en forgeant environ 54 000 à 54,5 billions de vsdCRV sur Arbitrum, et n'a liquidé que 43,781 ETH, puis a transféré la somme sur le réseau principal Ethereum.

En termes simples, c'est comme si quelqu'un avait obtenu un « stylo à impression de monnaie » et déployait massivement des tokens dérivés liés à l'écosystème Curve dans le protocole de couche deux, mais la valeur réellement monétisable ne représentait plus que quelques dizaines d'ETH. La différence ici ne réside pas dans l'ampleur des pertes, mais dans le fait qu'une fois que les droits du contrat sont concentrés sur une seule clé privée, la prétendue « logique décentralisée » devient instantanément inefficace.
Cet incident ramène une fois de plus le vieux problème sur le devant de la scène : la gestion des clés et la sécurité inter-chaînes restent des points faibles du DeFi. Pour Arbitrum et les stratégies autour de CRV, à court terme, la tolérance au risque sera probablement resserrée ; la manière dont l'équipe expliquera la situation ou si elle ajustera la structure des permissions influencera directement la vitesse de réparation de la confiance.