Saga piraté pour 7 millions ! La stablecoin se désancre à 0,75 USD, suspension du fonctionnement sur toute la chaîne

Saga subit une attaque de 7 millions de dollars, la sous-chaîne est suspendue en urgence. Le Saga Dollar s’est désancré à 0,75 USD, le TVL a évaporé de 55 %, tombant à 16 millions de dollars. L’adresse de l’attaquant a été mise sur liste noire, suspectée d’une vulnérabilité de création infinie.

Saga suspendue en urgence suite à une attaque de 7000 000 USD

Le protocole de blockchain Layer-1 Saga a suspendu ses services après une attaque exploitant une vulnérabilité de 7 millions de dollars sur sa sous-chaîne SagaEVM. Cette faille a permis le transfert non autorisé de fonds et leur conversion en Ether. L’équipe Saga a annoncé mercredi sur le forum X qu’elle avait suspendu le blocage de la chaîne compatible avec Ethereum à hauteur de 6 593 800.

Dans un article ultérieur sur Medium, l’équipe indique qu’à titre d’enquête en cours, ils ont découvert que cet incident de sécurité semblait « impliquer une série de déploiements de contrats coordonnés, des activités cross-chain et des retraits de liquidités subséquents ». Ils précisent : « Aucun échec de consensus, aucune compromission des validateurs ou fuite de clés de signataires n’a été constaté. La structure globale du réseau Saga reste robuste. » Ils ajoutent également avoir mis en place des mesures de sécurité supplémentaires pour prévenir de telles attaques.

Cette déclaration tente de qualifier l’attaque comme une exploitation de vulnérabilités au niveau des contrats intelligents, plutôt qu’un échec du mécanisme de consensus sous-jacent. Pour un projet blockchain, un échec de consensus ou une compromission des validateurs constitue l’événement de sécurité le plus grave, car cela détruit la confiance dans l’ensemble du réseau. Saga insiste sur le fait que « la structure globale du réseau reste robuste », cherchant à limiter les dégâts au niveau applicatif, évitant ainsi de porter un coup fatal à la confiance dans la technologie sous-jacente.

Selon Saga, en plus de la chaîne SagaEVM, d’autres stablecoins du protocole, Colt et Mustang, ont également été affectés. La chaîne restera suspendue jusqu’à ce que l’équipe technique et de sécurité termine une enquête approfondie et publie un rapport complet. Par ailleurs, l’équipe Saga indique avoir identifié l’adresse vers laquelle les fonds ont été envoyés, et travaille « avec les échanges et ponts pour mettre cette adresse sur liste noire ».

La décision de suspendre la blockchain est elle-même controversée. En théorie, une blockchain décentralisée ne devrait pas pouvoir être suspendue par une seule entité, mais en pratique, de nombreux projets Layer-1 et Layer-2 disposent de mécanismes d’arrêt d’urgence. Ce contrôle centralisé permet de limiter rapidement les pertes lors d’un incident de sécurité, mais expose aussi la nature « décentralisée » de ces projets. Pour Saga, suspendre la chaîne est un compromis : continuer à faire fonctionner le réseau pourrait aggraver les pertes, tandis que suspendre sacrifie l’idéal de décentralisation pour protéger les actifs des utilisateurs.

Données clés de l’attaque Saga

Montant perdu : 7 millions de dollars

Désancrage du stablecoin : de 1 USD à 0,75 USD (baisse de 25%)

Perte de TVL : de 37 millions USD à 16 millions USD (évanouissement de 55%)

Bloc de suspension : 6 593 800

Actifs affectés : Saga Dollar, Colt, Mustang

Saga Dollar désancré à 0,75 USD, confiance en berne

Selon les données de CoinGecko, le stablecoin Saga Dollar, principal ancrage en dollar du protocole, s’est désancré mercredi soir vers 22h16 (UTC), avec un prix tombé à 0,75 USD. Cette déviation de 25 % est catastrophique pour un stablecoin, dont la valeur fondamentale repose sur le maintien d’un ancrage 1:1 avec la monnaie fiat.

Il existe généralement deux mécanismes de désancrage des stablecoins. Le premier est lié à la demande : lorsque de nombreux détenteurs paniquent et vendent massivement, le marché manque de liquidités pour absorber toutes les ventes à 1 USD, ce qui entraîne une chute du prix sous l’ancrage. Le second concerne l’offre : si la garantie ou les réserves du stablecoin sont insuffisantes ou rencontrent des problèmes, il devient impossible de garantir un rachat à 1:1, ce qui érode la confiance dans l’ancrage. La déviation de Saga Dollar vers 0,75 USD pourrait résulter des deux facteurs : une attaque ayant endommagé les réserves (problème d’offre), et une panique de vente (problème de demande).

Un prix à 0,75 USD signifie une perte immédiate de 25 % de la valeur pour les détenteurs de Saga Dollar. Pour les utilisateurs utilisant le stablecoin pour payer, emprunter en garantie ou faire du liquidity mining, cette perte peut entraîner une réaction en chaîne. Les positions de prêt utilisant Saga Dollar comme garantie pourraient être liquidées de force, la valeur dans les pools de liquidité s’effondrerait, amplifiant les pertes impermanentes, et les acceptants dans les scénarios de paiement subiraient des pertes de change.

Le TVL du protocole a également chuté. Selon DefiLlama, la valeur totale verrouillée de Saga est passée de plus de 37 millions USD à 16 millions USD en 24 heures, évaporant environ 21 millions USD, soit 55 %. La chute brutale du TVL reflète non seulement la perte directe de fonds suite à l’attaque, mais aussi l’effondrement de la confiance des utilisateurs. Beaucoup ont choisi de retirer leurs fonds en urgence après l’annonce de l’attaque, transférant leurs actifs vers d’autres plateformes.

Vague de création infinie et analyse de la méthode d’attaque

L’équipe Saga n’a pas encore publié de rapport d’analyse post-incident, et toutes les théories tierces sur la cause de la vulnérabilité restent non confirmées. Cependant, les premières analyses de chercheurs en sécurité donnent des pistes importantes. Vladimir S, chercheur en menace, indique que l’attaquant aurait pu « créer Saga Dollar à volonté », en exploitant un abus du mécanisme IBC et en envoyant des messages personnalisés via un contrat auxiliaire.

« En écrivant des messages ou charges utiles personnalisés, ce contrat contourne la vérification dans la logique de pont précompilée, permettant de frapper une quantité infinie de $D tokens sans collatéral, » explique-t-il. Cette méthode d’attaque est extrêmement discrète et dangereuse. IBC (Inter-Blockchain Communication) est un protocole de communication cross-chain permettant l’échange d’informations et d’actifs entre différentes blockchains. En construisant soigneusement des messages, l’attaquant peut contourner la vérification, faire croire au système qu’il a déposé des garanties, alors qu’il a en réalité créé des stablecoins à volonté.

Ce type de vulnérabilité de création infinie n’est pas inédit dans l’histoire DeFi. Les attaques Mango Markets en 2022 ou Cream Finance en 2021 ont impliqué des mécanismes similaires : exploiter une faille dans la logique des contrats pour créer des actifs ou gonfler la valeur des garanties. Ces attaques ont en commun une barrière technique élevée, une difficulté à détecter en amont, et des pertes massives.

Par ailleurs, un utilisateur connu sous le pseudonyme Specter, spécialiste en investigations on-chain, suppose qu’il pourrait s’agir d’un « résultat d’une fuite de clé privée », tout en admettant que « peu d’informations sont disponibles ». La fuite de clé privée est une autre voie d’attaque totalement différente, impliquant que l’attaquant aurait obtenu le contrôle d’un portefeuille ou d’un contrat intelligent clé, permettant de transférer directement des fonds ou d’exécuter des opérations malveillantes. Si c’est le cas, la gravité du problème serait encore plus grande, car cela relèverait d’un échec de la gestion de la sécurité interne.

A ce stade, aucune des deux théories n’a été confirmée par Saga. La vulnérabilité de création infinie et la fuite de clé privée, bien que différentes dans leur vecteur d’attaque, peuvent toutes deux expliquer la perte de 7 millions de dollars et le désancrage du stablecoin. Saga promet de publier un rapport complet d’analyse de l’incident, où la vérité sera révélée. Pour les utilisateurs de DeFi, cet incident rappelle une fois de plus la réalité des risques liés aux contrats intelligents, même audités, qui peuvent receler des vulnérabilités fatales.

Saga pourra-t-elle retrouver la confiance et faire revenir le stablecoin à l’ancrage ?

L’équipe Saga indique avoir identifié l’adresse vers laquelle les fonds ont été envoyés, et travaille « avec les échanges et ponts pour mettre cette adresse sur liste noire ». Ces mesures de remédiation post-incident, bien qu’imparfaites, empêchent au moins l’attaquant de liquider facilement ses fonds. Si les principales plateformes d’échange et ponts cross-chain mettent cette adresse sur liste noire, il sera difficile pour l’attaquant de convertir ces fonds en autres actifs ou en fiat.

Cependant, pour l’écosystème Saga, le défi majeur reste la restauration de la confiance des utilisateurs et le rétablissement de l’ancrage du stablecoin. Après la chute à 0,75 USD, même si l’attaque est stoppée, il sera difficile de faire remonter le prix à 1 USD immédiatement. Cela nécessitera des mesures actives de la part de l’émetteur, comme l’injection de garanties supplémentaires, le rachat de stablecoins à prix réduit sur le marché, ou la mise en place de garanties de rachat.

La perte massive de TVL, passant de 37 millions USD à 16 millions USD, montre que les utilisateurs ont déjà « voté avec leurs pieds ». Même si Saga publie un rapport d’incident et corrige la faille, convaincre ces utilisateurs partis de revenir sera extrêmement difficile. Le marché DeFi étant très concurrentiel, une crise de sécurité majeure peut laisser des traces durables, voire des blessures irréparables à un projet.