Mauvais niveau de frais fixé en janvier. 413 000 $ Disparus en avril.

Singularity_Fi a perdu 413 000 $ après qu’un niveau de frais Uniswap V3 invalide ait silencieusement brisé son oracle. Une fuite JUDAO de 464 000 $ a touché BNB Chain la même semaine.

Le 19 janvier, un administrateur du protocole Singularity_Fi a enregistré six routes Oracle de jetons de rendement en utilisant un niveau de frais Uniswap V3 de 42. Uniswap V3 ne prend en charge que quatre niveaux de frais valides : 100, 500, 3 000 et 10 000.

Selon DefimonAlertes sur X, chaque appel à factory.getPool() utilisant ce niveau non valide renvoyait une adresse (0). La trajectoire directe des prix s’est rompue silencieusement. Aucune alarme. Aucun retour.

Le coffre-fort dynBaseUSDCv3 sur Base a continué à fonctionner. Elle n’avait tout simplement aucune idée de la valeur de ses actifs.

Le coffre-fort pensait qu’il avait 100 $. Il y en avait plus.

Les pools de secours WETH existaient mais ne comportaient aucune liquidité. Ainsi, VaultTokensLib.totalAssets() n’a compté que les quelque 100 $ d’USDC inutilisés dans le coffre-fort. Tout le reste, les jetons de rendement réels, ne se lisent comme rien.

Trois mois se sont écoulés.

L’attaquant a prêté 100 000 USDC à Morpho. Déposé dans le coffre-fort. Frappé près de 99,99 % de l’offre totale à ce ratio cassé. L’Hôtel de la Monnaie est passé sans problème, car l’oracle a déclaré que le coffre-fort était presque vide.

Puis vint la rédemption. Jetons rachetés proportionnellement à chaque solde de jetons réel, complètement indépendant de l’oracle. Les jetons de rendement sous-jacents l’accompagnaient. Selon DefimonAlerts, les dégâts totaux se sont élevés à environ 413 000 $. Le la transaction est visible sur Basescan. Le transaction de configuration des frais d’origineest également en chaîne, horodaté en janvier.

Singularity_Fi a confirmé l’incident dans un message Telegram. UN une autopsie complète est attendue, selon la propre annonce du protocole.

Cela fait partie d’une tendance qui s’aggrave. Les pertes cryptographiques d’avril 2026 ont déjà dépassé 620 millions de dollars, avec des erreurs de configuration d’Oracle parmi les types d’attaques récurrentes.

La chaîne BNB n’a pas attendu son tour

Deux jours plus tard, protocole différent. Une chaîne différente. Un résultat similaire.

DefimonAlerts a signalé un deuxième incident sur Xle 28 avril. JUDAO, un jeton négocié sur PancakeSwap avec un TVL déclaré de 22,3 millions de dollars, a perdu environ 464 000 dollars dans une fuite déflationniste du LP.

Le contrat JUDAO contient une fonction de transfert _update() personnalisée. Deux mécanismes se déclenchent à chaque vente. Premièrement, un chèque « isBurnPair » brûle ou redistribue JUDAO égal à la taille de vente directement à partir des réserves de la paire lorsque le prix n’a pas augmenté de plus de 5 % par rapport à la veille. Deuxièmement, un mécanisme de minage sync() draine environ 2 % des réserves JUDAO de la paire vers une adresse morte et des récompenses minières à chaque vente.

L’attaquant a prêté environ 2,3 millions USDT à Moolah. Acheté environ 5,5 millions de JUDAO. Vendu une partie. Les deux mécanismes de drainage se sont déclenchés simultanément.

Les réserves de la paire sont biaisées. Le JUDAO restant a été échangé contre beaucoup plus d’USDT que ce qui avait été initialement dépensé. Le bénéfice s’est élevé à environ 205 000 USDT plus 36 BNB. Aux prix actuels, cette partie BNB ajoute environ 22 600 $ supplémentaires. Le la transaction est enregistrée sur BSCScan.

Le jeton JUDAO n’est pas répertorié sur CoinGecko. La capitalisation boursière reste inconnue.

La configuration était l’exploit

Aucune des deux attaques n’a utilisé une nouvelle technique. Pas de pont, pas de manipulation de gouvernance, rien d’exotique. Une faute de frappe dans un niveau de frais. Une conception tokenomique qui punit son propre pool de liquidités.

Le Affaire Moonwell sur la base plus tôt cette annéea suivi un chemin similaire, une erreur de formule oracle qui n’a pas été détectée jusqu’à ce qu’une perte de 1,78 million de dollars la rende visible. Les configurations se cassent tranquillement. Les exploits s’annoncent.

L’adresse du contrat Oracle Singularity_Fi est visible publiquement. Le coffre-fort des victimes se trouve à un adresse distincte sur la base. L’adresse de la paire JUDAO LP sur la chaîne BNB est également en chaîne.

DefimonAlerts a noté que le rapport Singularity_Fi est préliminaire. Une autopsie formelle du protocole est toujours en attente.

Source : Live Bitcoin News