Le 15 septembre, un portefeuille Safe sur Ethereum a transféré près de 2 900 rsETH, valorisés autour de 7,8 millions de dollars. L’opération n’aurait pas compromis les signatures du wallet. Elle aurait exploité un module déjà autorisé à agir pour son compte.
Un bot MEV nommé Yoink a ensuite devancé l’auteur présumé de l’opération dans le mempool public. Cet épisode révèle un risque précis en DeFi. Un smart wallet dépend de la sécurité de chaque extension à laquelle il accorde des privilèges.
Points clés sur Ethereum et safe wallet :
- Le retrait semble lié à un module personnalisé, non à une faille générale de Safe.
- Yoink a capté l’essentiel de l’opération avant l’exploitant présumé.
- Kelp DAO a bloqué temporairement une partie des rsETH, sans les récupérer.
Ethereum : le module autorisé devient le point faible
Le fait central ne porte pas sur une compromission des clés ni sur le contournement direct du multisignature. Il concerne une permission technique préexistante, accordée à un composant tiers du portefeuille.
Une voie d’exécution détournée
Le Safe wallet concerné détenait une position en rsETH sur Aave V3. La transaction a détruit environ 2 900 aEthrsETH afin de retirer presque autant de rsETH, le jeton de liquid restaking de Kelp DAO.
Selon les éléments disponibles, l’ordre a transité par un module personnalisé doté de l’accès à execTransactionFromModuleReturnData. Un module autorisé peut demander au Safe d’exécuter une transaction sans exiger à nouveau le seuil habituel de signatures.
La faiblesse apparente se situerait à l’entrée de ce module. Sans contrôle suffisant des appels externes, un tiers pouvait déclencher une action avec les privilèges déjà délégués. Au cœur de cet exploit Safe rsETH, une permission existait, mais ses propriétaires semblent en avoir perdu le contrôle.
Le multisignature n’est pas disculpé par principe
Safe ne semble pas avoir validé une transaction non autorisée au sens de ses règles internes. Il aurait exécuté une instruction venue d’un module Safe auquel le portefeuille avait donné le droit d’agir. Cette nuance évite de présenter l’affaire comme un hack DeFi applicable à tous les wallets Safe.
Elle ne réduit pas la gravité opérationnelle. Des fonds peuvent quitter le portefeuille sans nouvelle signature visible lorsqu’un module détient des droits trop larges. Le code, les contrôles d’accès et la révocation des permissions comptent autant que la conservation des clés.
Les traces on-chain et le rôle de Yoink
Les montants et la séquence d’exécution étayent l’analyse. Ils ne répondent toutefois pas encore à toutes les questions. Les mouvements identifiés permettent de distinguer le retrait initial, le front-run et les actifs déjà convertis.
Près de 7,8 millions de dollars retirés
La position retirée représentait entre 7,73 et 7,85 millions de dollars au moment de l’opération. Aave a traité ce retrait comme valide, puisque la demande provenait d’une voie autorisée par le Safe wallet. Rien dans les informations fournies ne désigne une faille du protocole de prêt.
Le parcours aurait aussi utilisé Permit2 et le PositionManager d’Uniswap v4. L’acteur à l’origine de l’opération a dirigé les actifs vers un pool relié à un hook qu’il contrôle. Les hooks ajoutent une logique programmable aux pools. Ils ne sont pas malveillants en eux-mêmes, mais leur intégration exige une vérification stricte.
Il serait donc inexact d’attribuer cet exploit Ethereum à Aave ou à Uniswap v4. Les données décrivent plutôt une chaîne de composants utilisés après le déclenchement d’un module vulnérable. La responsabilité technique finale devra être établie à partir des contrats et des contrôles effectivement déployés.
Le bot MEV passe avant l’exploitant
La transaction initiale aurait été exposée dans le mempool public d’Ethereum. Yoink l’aurait détectée, reproduite et exécutée avant son auteur présumé. Sa transaction a été incluse dans le bloc 25 980 525, à 04 h 38 min 47 s UTC.
Le front-run montre comment fonctionne le MEV sur Ethereum. Des bots repèrent les transactions en attente et paient pour faire passer une exécution rentable. Le bot MEV ne se serait pas limité à un arbitrage de prix ou à une liquidation. Il aurait repris une logique d’extraction déjà prête.
Cette avance ne fait pas automatiquement de Yoink un intervenant protecteur. Aucune information disponible ne confirme une restitution, une négociation de récompense ou une coopération avec les parties touchées. Le statut réel de ces fonds reste donc incertain.
Ethereum : Kelp DAO limite les sorties, sans restitution
La réponse de Kelp DAO a réduit temporairement la mobilité d’une partie des jetons. Elle ne clôt pas l’incident, car certains fonds avaient déjà quitté l’adresse soumise à cette restriction.
Une restriction de 24 heures
Après l’extraction, une nouvelle adresse a reçu environ 2 882,37 rsETH. Kelp DAO a imposé une restriction de 24 heures. Durant ce délai, les jetons visés ne peuvent plus entrer ni sortir de ce wallet.
La mesure ne concerne pas tous les détenteurs de rsETH. Kelp DAO affirme que ses contrats principaux n’ont pas été compromis et que le jeton reste adossé. Il faut distinguer cette déclaration du sort des fonds. Une immobilisation n’est ni une saisie ni une récupération au bénéfice du portefeuille initial.
Des fonds déjà passés par plusieurs protocoles
Environ 17,63 rsETH avaient déjà été échangés via Uniswap v4 avant la restriction. Une opération ultérieure liée à Yoink aurait retiré 157,71 rsETH d’Aave. Elle les aurait ensuite transférés vers Fluid Dex pour les convertir en environ 169,83 ETH.
Le bilan financier peut donc évoluer. La traçabilité sur Ethereum ne suffit pas à garantir le retour des fonds. Les conversions et les transferts vers plusieurs contrats compliquent encore leur récupération. Après ce délai initial, les plateformes concernées devront préciser si d’autres mesures restent possibles.
Pour les utilisateurs de stratégies automatisées, cet exploit Safe rsETH rappelle l’intérêt d’auditer les modules actifs et leurs permissions. Le nombre de signatures ne suffit pas à évaluer un wallet crypto. Les extensions autorisées déterminent aussi concrètement son exposition au risque.
Les permissions des wallets deviennent le prochain test
Les faits connus évoquent une défaillance localisée. Ils n’indiquent pas de vulnérabilité systémique chez Safe, Aave ou Kelp DAO. La séquence reste pourtant un avertissement sérieux pour la DeFi Ethereum, où l’automatisation concentre des droits d’exécution considérables.
Deux éléments mesurables peuvent changer la lecture de l’affaire. Il s’agit de l’issue de la restriction sur les 2 882,37 rsETH et d’une éventuelle restitution par Yoink. L’analyse publique du module concerné sera également déterminante. Ces éléments diront si l’incident relève d’un défaut isolé ou d’un modèle de permission plus largement exposé.
Pourquoi un module Safe peut-il agir sans signatures supplémentaires ? Un module autorisé peut exécuter certaines transactions au nom d’un Safe selon les droits dont il dispose. L’automatisation facilite les stratégies DeFi. Elle devient toutefois risquée si le module accepte des appels non contrôlés ou détient des permissions trop étendues.
FAQ : Ethereum et adoption institutionnelle
Il montre qu’un portefeuille multisignature peut être exposé sans vol de clés. Le retrait de près de 2 900 rsETH aurait utilisé les privilèges d’un module déjà autorisé. L’affaire met donc l’accent sur les contrôles d’accès des extensions, un point critique pour les stratégies DeFi automatisées.
Yoink aurait devancé la transaction initiale dans le mempool public. Le bot MEV a repéré une opération rentable, l’a exécutée avant son auteur présumé et a capté l’essentiel des actifs. Cette séquence ne prouve pas que l’opérateur agira comme un white hat ou rendra les fonds.
Non, les rsETH ne sont pas considérés comme récupérés. Kelp DAO a temporairement bloqué les entrées et sorties d’une adresse contenant environ 2 882,37 rsETH. Une partie des fonds avait déjà été échangée ou convertie, et l’issue de la restriction ne garantit pas leur restitution au portefeuille d’origine.
Disclaimer : Cet article est fourni à titre informatif et ne constitue pas un conseil en investissement. Les cryptomonnaies sont des actifs volatils. Faites vos propres recherches avant toute décision.
