## Exploit du protocole Unleash : comment 3,9 millions de dollars ont été retirés via une vulnérabilité de gestion

Les chercheurs en sécurité de PeckShield ont détecté un incident grave sur la plateforme décentralisée Unleash Protocol, qui fonctionne sur la base de Story Protocol. L'attaquant a exploité une vulnérabilité dans le système de gestion multi-signatures et a réussi à retirer environ 3,9 millions de dollars d'actifs utilisateur. L'incident a mis en évidence l'importance cruciale de la protection du contrôle administratif dans l'écosystème DeFi.

## Anatomie de l'attaque : du accès non autorisé au retrait de fonds

L'attaque a commencé par la compromission du mécanisme de multi-signature d'Unleash Protocol. L'attaquant a obtenu un accès administratif non autorisé et a déployé une mise à jour non approuvée du contrat intelligent, contournant les procédures standard d'approbation. Cela a permis à l'attaquant d'avoir un contrôle direct sur le protocole et la possibilité de retirer des fonds des contrats sans l'autorisation interne de l'équipe.

Après avoir retiré les actifs du protocole, l'attaquant a commencé à diviser les fonds volés en petites parties pour compliquer leur traçage. Sur la blockchain Ethereum, des dépôts ont été enregistrés sous la forme de 1 337,1 ETH, qui ont été envoyés à Tornado Cash — un outil de confidentialité populaire pour dissimuler l'origine des transactions. Le système de dépôts multiples (de petites sommes à des lots de 100 ETH) était manifestement destiné à mélanger les actifs via un protocole de mixage afin d'éliminer le lien entre les fonds volés et leur source initiale.

## Quels actifs ont été touchés

Lors de l'exploit, plusieurs tokens clés de l'écosystème ont été compromis : WIP, USDC, WETH, stIP et vIP. Tous ces actifs ont été retirés en dehors du cadre de la gestion approuvée sans l'accord de l'équipe principale. L'équipe d'Unleash Protocol a souligné que l'incident se limite uniquement aux contrats du protocole lui-même — Story Protocol, ses validateurs et l'infrastructure de base sont restés intacts.

## Actions de la plateforme et recommandations aux utilisateurs

Peu après la détection de la vulnérabilité, Unleash Protocol a suspendu toutes les opérations pour éviter de nouvelles pertes. L'équipe a lancé une enquête en collaboration avec des experts en sécurité indépendants et des spécialistes judiciaires. À ce jour, il est fortement conseillé aux utilisateurs de s'abstenir d'interagir avec les contrats d'Unleash Protocol jusqu'à la publication de mises à jour officielles pour corriger la vulnérabilité.

Cet incident démontre une fois de plus l'importance des audits de sécurité réguliers, de la confirmation multiple pour les opérations critiques de gestion et de la surveillance adéquate de l'accès administratif dans les protocoles DeFi.