Le protocole Echo de Monad victime d’un exploit de 76 millions de dollars lors de la création d’eBTC

La crypto a enregistré son troisième grand piratage en quatre jours. Le protocole Echo sur la blockchain Monad a subi une violation de sécurité critique le 19 mai 2026, après qu’un attaquant a compromis la clé privée de l’administrateur du contrat eBTC.

😨又来？Echo Protocol 被黑：私钥裸奔，7600万美元凭空铸出

Echo Protocol 在 Monad 链上遭到攻击，eBTC 合约管理员私钥被盗，黑客借此授权自己无限铸币权限。

黑客在 Monad 上铸造了 1000 枚 eBTC（约 7664 万美元），将其中 45 枚存入 Curvance 作为抵押，借出 11.3 枚 WBTC（约 86.7… https://t.co/pUKPYxcvTq pic.twitter.com/68PpV2x2Qi

— PANews丨APP全面升级 (@PANews) May 19, 2026

En utilisant cet accès, le hacker a créé 1 000 eBTC d’une valeur d’environ 76,64 millions de dollars à partir de rien. Cet incident fait suite à l’exploit de 10,7 millions de dollars de THORChain le 15 mai et à la fuite de 11,5 millions de dollars du pont Verus-Ethereum le 18 mai. Les nouvelles crypto aujourd’hui révèlent un schéma inquiétant, et le protocole Echo en est la dernière victime.

Comment l’attaque s’est déroulée

La cause profonde était dévastatrice de simplicité. Le rôle d’administrateur du contrat eBTC était contrôlé par une seule clé privée sans protection multisig et sans verrouillage temporel. Une fois que l’attaquant a compromis cette clé, tout a suivi rapidement.

L’attaquant a d’abord obtenu le DEFAULT_ADMIN_ROLE. Il a ensuite révoqué l’administrateur d’origine et s’est accordé le MINTER_ROLE. Avec l’autorité de création sécurisée, il a créé 1 000 eBTC pour des frais de gaz négligeables, environ 0,0003 $. Cela représente 76,64 millions de dollars créés pour moins d’une fraction de cent.

L’attaquant a ensuite agi rapidement. Il a déposé 45 eBTC, d’une valeur d’environ 3,45 millions de dollars, dans Curvance, un protocole de prêt opérant sur Monad. En utilisant ce collatéral, il a emprunté 11,3 WBTC d’une valeur d’environ 867 000 $. Il a transféré le WBTC vers Ethereum, l’a échangé contre environ 385 ETH, et a déposé ces fonds dans Tornado Cash pour blanchir les bénéfices. L’attaquant détient toujours 955 eBTC, d’une valeur d’environ 73,2 millions de dollars, dans son portefeuille. Cependant, ces jetons sont des actifs synthétiques non garantis sans véritable collatéral BTC derrière eux.

Deux protocoles ont échoué simultanément

Les nouvelles de Monad concernant cet incident clarifient un point important. La chaîne Monad elle-même n’a pas été compromise. Il s’agissait d’un échec opérationnel au niveau du protocole, et non d’une vulnérabilité au niveau de la chaîne.

Deux échecs de sécurité se sont croisés. Premièrement, le contrôle d’administrateur à clé unique du protocole Echo n’avait ni multisig, ni verrouillage temporel, ni limite de création, ni limites de taux. Deuxièmement, Curvance a accepté le nouvel eBTC synthétique créé comme collatéral sans aucune vérification d’origine ou de l’intégrité de l’offre. Cette lacune de composabilité a permis à l’attaquant d’extraire une valeur réelle avant que quiconque puisse intervenir.

Curvance se retrouve maintenant avec une mauvaise dette provenant de la position sous-collatéralisée. Les fournisseurs de liquidités WBTC supportent la perte financière principale des fonds empruntés. Le protocole Echo a confirmé l’incident publiquement et suspendu toutes les transactions inter-chaînes pendant que l’enquête se poursuit.

Ce que cela signifie pour les investisseurs et les développeurs

Pour les investisseurs, trois exploits totalisant plus de 98 millions de dollars en quatre jours exigent une attention particulière. L’environnement de sécurité DeFi en mai 2026 est extrêmement dangereux. Chaque attaque a exposé une vulnérabilité différente. Un défaut d’implémentation TSS chez THORChain, une lacune de validation du montant source chez Verus, et un compromis d’administrateur à clé unique chez Echo Protocol.

Pour les développeurs, le piratage du protocole Echo délivre trois leçons non négociables. Les rôles d’administrateur sur les actifs créables doivent exiger un multisig. Les verrouillages temporels doivent protéger les fonctions privilégiées critiques. Les protocoles de prêt doivent vérifier les origines des collatéraux et l’intégrité de l’offre avant d’accepter des actifs synthétiques.

Les nouvelles de Tornado Cash concernant cet incident ajoutent une dimension familière. L’outil de blanchiment continue de servir de voie de sortie privilégiée pour les attaquants DeFi malgré la pression réglementaire continue. L’industrie possède les connaissances techniques pour prévenir chacune de ces attaques. La question est de savoir si les protocoles vont les mettre en œuvre avant que le prochain exploit ne survienne.