THORChain (RUNE) relance ses opérations après un hack de 10,7 M$ avec un plan de récompense pour pirates

Le protocole décentralisé THORChain (RUNE), spécialisé dans les échanges cross-chain sans intermédiaire, a subi un exploit majeur de 10,7 millions de dollars le 15 mai 2026. L’attaque a exploité une faille de reentrancy dans son contrat de liquidité, entraînant la suspension temporaire du réseau. Une proposition de reprise, nommée ADR028, a été soumise au vote des validateurs le 22 mai 2026, intégrant notamment un plan de récompense pour les pirates et des mesures de partage des pertes. Malgré un TVL de 75,68 millions de dollars (+2,4 % sur 7 jours) et un score CryptoScore de 45/100, THORChain reste exposé à des vulnérabilités persistantes. Ce qui s’est passé L’exploit a été rendu possible par une faille de reentrancy, un bug classique en programmation de contrats intelligents. Le pirate a pu retirer des liquidités à plusieurs reprises avant que le solde ne soit bloqué, ciblant principalement des pools cross-chain comme BTC.B, ETH/ETH et AVAX/AVAX. Selon les données on-chain, 92 % des fonds perdus provenaient de pools utilisant des tokens synthétiques. Aucun audit tier-1 n’a été réalisé depuis l’exploit de Halborn en 2023, malgré les 11 exploits majeurs subis par le protocole depuis son lancement. La proposition ADR028, soumise au vote des validateurs, prévoit une perte partielle des tokens de gouvernance (POL) pour les pools affectés, un partage des synthétiques entre les utilisateurs lésés et aucune émission supplémentaire de RUNE pour couvrir les pertes. THORChain a également annoncé un plan de récompense pour pirates de 1 million de dollars en RUNE, soit 0,56 % de la capitalisation actuelle du token. Le vote, ouvert le 22 mai 2026, a été soutenu par 68 % des validateurs, mais avec une participation de seulement 42 %, laissant planer des incertitudes sur l’adhésion totale de la communauté. Pourquoi c’est important L’incident a eu un impact immédiat sur le marché : le cours de RUNE a chuté de 8 % en 24 heures , passant de 1,95 $ à 1,79 $, tandis que le volume d’échange a augmenté de 20 %. Cet exploit met en lumière les risques persistants des protocoles cross-chain, déjà sous surveillance après des incidents similaires chez THORSwap ou Orion Protocol. Les investisseurs en DeFi pourraient réévaluer leur exposition aux tokens de gouvernance comme RUNE ou POL, dont les scores CryptoScore restent faibles (45/100 pour RUNE, 37/100 pour POL). Sur le plan technique, la faille de reentrancy souligne l’importance des audits indépendants et des bonnes pratiques en matière de sécurité des contrats intelligents. L’absence d’audit récent, combinée à une histoire d’exploits répétés, pourrait fragiliser la confiance des utilisateurs et des régulateurs. Enfin, la reprise via un vote des validateurs, qui ne représentent qu’une fraction des détenteurs de RUNE, soulève des questions sur la centralisation partielle du protocole. Ce qu’il faut surveiller Le vote final sur ADR028 : si le seuil de 66 % est atteint, le réseau reprendra ses opérations d’ici 48 à 72 heures, avec une période de test de 7 jours pour les pools affectés. La publication du rapport d’audit par Halborn, annoncé mais sans date précise. Un audit négatif pourrait entraîner une nouvelle suspension du réseau. L’évolution du cours de RUNE et du volume d’échange, qui pourraient refléter une pression vendeuse ou une perte de confiance des investisseurs. Les réactions des protocoles concurrents, comme THORSwap ou SynthSwap, qui pourraient capter des parts de marché si les utilisateurs perdent confiance dans THORChain. Les mesures correctives mises en place par THORChain pour renforcer la sécurité de ses contrats intelligents et éviter de futurs exploits.