Comment des pools de liquidité malveillants trompent les utilisateurs d’Ethereum et de Polygon via des fausses citations

Points clés

• Le rapport du 16 juillet d’Enso a mis en évidence des « pools toxiques » qui fabriquent de fausses cotations, causant des pertes de dizaines de milliers de dollars sur un pool de Curve.
• L’exploit menace les front-ends DeFi, avec un seul hook malveillant Uniswap v4 entraînant un taux d’échec de 99,1%.
• Enso a mis à jour son produit Enso Shield pour détecter les fausses cotations sur 2 environnements blockchain différents.

Une tactique « Jekyll et Hyde »

Une nouvelle catégorie de pools de liquidité DeFi malveillants récemment révélée cible l’infrastructure de base dont les traders de cryptomonnaies dépendent pour trouver les meilleurs prix, selon une recherche publiée le 16 juillet par la société Enso, spécialisée dans l’infrastructure DeFi.

L’entreprise qualifie ces montages trompeurs de « pools toxiques ». Contrairement aux piratages de cryptomonnaies classiques qui siphonnent directement des fonds depuis les smart contracts, ces pools sont conçus pour tromper de manière systématique les simulations de transactions. Ils renvoient des cotations attrayantes et très compétitives lorsqu’un portefeuille crypto ou un agrégateur de DEX exécute une simulation, mais ils modifient leur comportement dès que la transaction est réellement exécutée sur la blockchain.

Le résultat est un drainage subtil et systémique : les traders reçoivent des prix d’exécution nettement pires que ceux qui leur ont été annoncés, ou leurs transactions échouent, ce qui entraîne au passage la combustion de frais réseau.

« Notre enquête nous amène à penser qu’il ne s’agit pas simplement d’un autre exploit ponctuel de smart contract », a déclaré Milos Costantini, cofondateur et directeur produit chez Enso. « L’industrie a passé des années à optimiser la découverte des prix. Nos résultats indiquent que le prochain défi est de vérifier l’intégrité de l’exécution. »

D’après le rapport d’Enso, les pools toxiques exploitent les simulations hors chaîne de type « dry-run » utilisées par les portefeuilles pour prévisualiser les transactions. Les contrats malveillants détectent lorsqu’ils sont exécutés dans un environnement de simulation en lecture seule et renvoient un prix artificiellement optimisé. Une fois la transaction effectivement diffusée on-chain, le pool modifie sa logique mathématique pour exécuter le trade à un rythme dégradé.

Pour rester invisibles aux systèmes de sécurité, ces pools alternent entre des états honnêtes et malveillants, rendant les analyseurs de code statiques et les filtres de réputation historiques inefficaces. Cette conception « appât et changement » dégrade l’expérience utilisateur et draine les fonds des utilisateurs via des transactions échouées. Dans une étude de cas, un pool Curve manipulé a déclenché plus de 37 000 trades revert, obligeant les utilisateurs à brûler près de 30 000 dollars de frais de gas.

Les attaquants exploitent également des architectures d’échange modulaires de nouvelle génération. Sur Polygon, un « hook » malveillant — un plugin de smart contract utilisé dans des plateformes comme Uniswap v4 — a attiré des systèmes de routage avec de fausses cotations avant de déclencher un taux d’échec de 99,1% des transactions.

Résultats d’une analyse forensique on-chain

La recherche, qui a duré environ deux mois d’analyse forensique on-chain, a combiné des données historiques d’archive-node, l’analyse des traces de transaction et l’inspection des smart contracts. Les ingénieurs d’Enso, avec le soutien de contacts issus de protocoles DeFi majeurs comme Curve Finance et Oku, ont identifié des pools toxiques actifs fonctionnant à la fois sur les blockchains Ethereum et Polygon.

Dans un cas documenté sur Ethereum, un pool Curve manipulé a traité plus de 129 000 swaps. Bien que le pool semblait être le trajet optimal, il a fourni une exécution pire que celle annoncée, conduisant à environ 225 000 dollars de cotations surévaluées.

En outre, l’équipe d’Enso a identifié plusieurs contrats d’oracle blockchain déployés par le même opérateur pour soutenir des pools supplémentaires, indiquant que la tactique est probablement plus répandue que les deux cas documentés et pourrait constituer un modèle émergent pour l’extraction on-chain.

Ces résultats posent un défi direct à la couche orientée utilisateur de l’écosystème DeFi. Les portefeuilles populaires, les interfaces grand public et les agrégateurs dépendent fortement de simulations automatisées pour garantir le « meilleur chemin » pour la transaction d’un utilisateur.

Le rapport d’Enso souligne que si l’infrastructure de routage ne peut pas distinguer une cotation légitime d’une cotation manipulée, les front-ends continueront à diriger les utilisateurs vers ces pièges. Cela crée des risques potentiels de responsabilité légale et financière pour les fournisseurs de portefeuilles et les opérateurs d’interfaces qui promettent une « meilleure exécution » tout en livrant régulièrement des routes toxiques.

En réponse à la menace, Enso a annoncé avoir mis à jour son produit de protection contre l’exécution, Enso Shield, pour inclure une détection dédiée des pools toxiques. L’outil de sécurité est conçu pour contourner les méthodes de simulation standard en analysant le contexte on-chain en direct, en surveillant l’historique des cotations et en utilisant des traces de transaction pour repérer les écarts d’exécution.

Plutôt que d’accuser des échanges décentralisés individuels, Enso a appelé l’ensemble de l’industrie des cryptomonnaies à mener des recherches supplémentaires sur la manipulation des simulations de transaction.

« Si les simulations de transaction peuvent être manipulées alors que l’exécution réelle raconte une autre histoire », a déclaré Costantini, « nous avons besoin de meilleures méthodes pour vérifier ce que reçoivent réellement les utilisateurs. »