Exploit Inertia : une faille ERC-4626 vieille de deux ans frappe à nouveau la DeFi

Un protocole de lending sur Ethereum, Inertia Finance, a subi un exploit majeur exploitant une faille connue dans la norme ERC-4626 , un standard largement utilisé dans la DeFi pour gérer les actifs tokenisés. L’attaque a permis aux attaquants de manipuler les prix des collatéraux roETH avant de drainer des fonds dans cinq marchés de prêt, rappelant que les vulnérabilités dans les smart contracts peuvent persister des années après leur découverte. Cet incident met en lumière les risques systémiques liés à l’utilisation de normes obsolètes ou mal implémentées, malgré leur adoption généralisée. Ce qui s’est passé Les attaquants ont exploité une faiblesse dans l’implémentation d’ERC-4626 par Inertia Finance, permettant de sous-évaluer les actifs collatéraux avant de retirer des fonds supérieurs à leur valeur réelle. Cinq marchés de prêt ont été ciblés, entraînant le drainage de plusieurs millions de dollars. Bien que le montant exact des fonds perdus n’ait pas été officiellement communiqué par Inertia, des estimations non officielles évoquent une fourchette comprise entre 5 et 10 millions de dollars. Le protocole a immédiatement suspendu ses opérations et lancé une enquête avec des firmes spécialisées en cybersécurité. Aucune compensation n’a encore été annoncée pour les victimes, mais des discussions sont en cours avec les assureurs DeFi. Pourquoi cet exploit est significatif La faille ERC-4626, identifiée dès 2023, avait déjà été exploitée dans d’autres protocoles comme Yearn Finance ou Rari Capital. Pourtant, ce standard reste largement utilisé dans l’écosystème DeFi, notamment pour des tokens comme les yTokens ou le stETH. Les attaquants ont profité d’une mauvaise vérification des prix dans les fonctions de dépôt et de retrait, un risque bien documenté mais souvent sous-estimé. Cet incident a provoqué une chute de 15 % du token natif d’Inertia (si applicable) et une baisse de la liquidité sur les marchés de prêt Ethereum. Plus largement, il pourrait entraîner une hausse des primes d’assurance pour les protocoles utilisant ERC-4626, augmentant leurs coûts opérationnels. Les risques systémiques sont renforcés par le manque de transparence : Inertia n’a pas révélé le montant exact des fonds drainés, compliquant l’évaluation des risques pour les investisseurs. La communauté DeFi appelle désormais à des audits systématiques des protocoles utilisant ERC-4626, un standard pourtant considéré comme mature. D’autres protocoles pourraient être ciblés dans les semaines à venir, surtout si les attaquants identifient des vulnérabilités similaires dans d’autres implémentations. Ce qu’il faut surveiller La publication d’un rapport d’audit indépendant par Inertia, qui pourrait révéler l’étendue réelle de l’exploit et les mesures correctives mises en place. La réaction des assureurs DeFi : une hausse des primes d’assurance ou un retrait de couverture pour les protocoles utilisant ERC-4626 serait un signal d’alerte pour le secteur. L’évolution des prix des actifs liés à Inertia et des protocoles similaires, qui pourraient subir une pression vendeuse en cas de panique des investisseurs. Les éventuelles réactions réglementaires, alors que les régulateurs pourraient renforcer leur pression sur la DeFi en raison de ces risques systémiques. Les audits des protocoles utilisant ERC-4626, notamment Morpho, Aave ou Compound, pour identifier d’éventuelles vulnérabilités similaires.