Purrlend a perdu 1,5 million de dollars dans une exploitation DeFi liée à une mise à jour suspecte du portefeuille admin. Découvrez ce qui s’est passé sur HyperEVM et MegaETH.
Purrlend, un protocole de prêt construit sur HyperEVM et MegaETH, a subi une exploitation majeure.
Les attaquants ont siphonné environ 1,5 million de dollars sur les deux réseaux.
La brèche remonte à une transaction multisig admin suspecte. Elle a accordé des privilèges de pont non autorisés des heures avant l’attaque.
Le protocole a depuis suspendu toutes ses opérations et lancé une enquête.
Comment la mise à jour du portefeuille admin de Purrlend a déclenché l’exploitation
Selon les rapports, une transaction clé a eu lieu à 1 h 20 UTC.
Le multisig admin a mis à jour les plafonds d’emprunt et attribué des rôles à une adresse inconnue.
Cette adresse a ensuite reçu des privilèges de pont, ce qui a permis la création de jetons non adossés. En bref, des jetons ont été créés sans aucune garantie réelle derrière eux.
Ce type d’accès est très sensible dans les systèmes de prêt DeFi. L’accorder à une adresse non vérifiée a ouvert la porte à une extraction massive de fonds.
La communauté a rapidement signalé l’activité du portefeuille comme suspecte. Les questions sur qui a autorisé la transaction restent sans réponse.
We have detected irregular activity on the protocol and are actively investigating. The protocol has been paused for the time being. Please proceed with extra caution in the meantime. Further updates will be posted from this account.
— Purrlend (@purrlend) April 25, 2026
Purrlend a confirmé sur son compte officiel avoir détecté une activité irrégulière.
L’équipe a déclaré que le protocole était suspendu et que d’autres mises à jour suivraient. Aucune analyse technique supplémentaire n’a encore été publiée.
Répartition des fonds volés sur HyperEVM et MegaETH
L’analyste on-chain kirbycrypto a détaillé les actifs volés.
HyperEVM a subi le plus gros coup, perdant au total 1 197 488 $. Cela incluait 449 683 USDC, 214 125 USDT0 et 194 745 USDH. D’autres actifs volés comprenaient wstHYPE, UBTC, UETH, kHYPE et WHYPE.
MegaETH a enregistré des pertes de 324 549 $. Les attaquants ont pris 163 169 USDT0, 36,8 WETH et 75 745 USDm sur cette chaîne.
Au total, le montant a atteint environ 1,52 million de dollars. Kirbycrypto a publié la répartition complète sur X, citant des données de transactions au niveau du portefeuille.
Purrlend appears to be exploited on both MegaETH and HyperEVM.
Attacker made off with:
449,683.8748 $USDC
214,125.3752 $USDT0
194,745.1368 $USDH
2.0477 $UBTC
1,581.3418 $wstHYPE
19.6052 $UETH
868.4795 $kHYPE
757.0228 $WHYPE
Total: $1,197,488.33 on HyperEVM+
163,169.1587… pic.twitter.com/SgP4CsK4Ln
— kirbycrypto (@kirbyongeo) April 25, 2026
Les actifs ciblés étaient principalement des stablecoins et des jetons enveloppés. Ce sont généralement des cibles à haute liquidité dans les exploits DeFi.
Leur facilité de déplacement entre les chaînes les a rendus attrayants pour l’attaquant.
Lire aussi :
https://www.livebitcoinnews.com/another-defi-blow-volo-protocol-hit-by-3-5m-hack-freezes-vaults-on-sui/
Réaction de la communauté et le mois d’avril difficile de la DeFi continue
Les membres de la communauté ont réagi avec frustration sur les plateformes sociales.
Plusieurs utilisateurs ont souligné des signes d’alerte antérieurs. Une préoccupation soulevée était la promotion intense du protocole juste avant l’événement du jeton MegaETH.
D’autres y ont vu un possible délit d’initié, bien qu’aucune preuve n’ait confirmé cette affirmation.
Aucun fonds n’a été récupéré jusqu’à présent. L’équipe de Purrlend n’a pas partagé de plan de récupération publiquement. L’enquête se poursuit au moment de la rédaction de ce rapport.
Cet incident s’ajoute à une période difficile pour le secteur DeFi. Le seul mois d’avril a vu plus de 600 millions de dollars de pertes dues à diverses attaques et exploits.
Purrlend rejoint une liste croissante de protocoles pris dans des failles de sécurité ce mois-ci. Cette tendance a suscité des préoccupations plus larges concernant le contrôle d’accès dans les structures de gouvernance DeFi.
Laisser un commentaire