Alerte Hack DeFi : L'Exploit du Smart Contract d'Aperture Finance Subit une Perte de 3,67 M$

L'article Alerte de piratage DeFi : L'exploitation du smart contract d'Aperture Finance entraîne une perte de 3,67 millions de dollars est apparu en premier sur Coinpedia Fintech News

La plateforme DeFi Aperture Finance a subi une importante faille de sécurité, perdant environ 3,67 millions de dollars lors d'une exploitation de smart contract. La société de sécurité blockchain PeckShieldAlert montre que le pirate transfère activement les fonds volés via Tornado Cash, un service de mixage de confidentialité. 

Cette activité a soulevé de nouvelles inquiétudes concernant la récupération des fonds et la manière dont le piratage s'est réellement produit.

Comment l'exploitation d'Aperture Finance s'est produite

Selon PeckShieldAlert, le piratage d'Aperture Finance s'est produit le 25 janvier 2026, en raison d'une faiblesse dans ses smart contracts V3 et V4, combinée aux approbations de tokens existantes des utilisateurs.
Sur les plateformes DeFi, les utilisateurs autorisent souvent les contrats à déplacer leurs tokens ERC-20 ou leurs NFT de position de liquidité afin que les transactions et stratégies puissent s'exécuter automatiquement. Mais dans ce cas, l'exploitant a trouvé une faille dans la façon dont le contrat gérait ces autorisations et appels de fonction.

Au lieu de pirater des portefeuilles ou de voler des clés privées, l'attaquant a utilisé la logique propre du contrat pour déclencher des transferts d'actifs non autorisés.

Comme de nombreux utilisateurs avaient déjà accordé des approbations, l'attaquant a pu déplacer des fonds sans avoir besoin de nouvelles signatures. Cela lui a permis de drainer les actifs liés aux tokens approuvés et aux positions de liquidité.

Fonds transférés vers Tornado Cash après le piratage

Et tout cela a conduit à l'extraction de 3,67 millions de dollars de valeur, l'attaquant a converti une grande partie en ETH, et a envoyé environ 1 242 ETH vers Tornado Cash pour masquer la trace.

Les attaquants utilisent souvent des services de mixage comme Tornado Cash pour cacher l'origine des cryptomonnaies volées et rendre le suivi plus difficile. Les fonds ont été envoyés en plusieurs petites transactions, y compris des lots de 10 ETH et 100 ETH, une méthode courante utilisée pour éviter l'attention.

Les utilisateurs invités à révoquer les approbations de tokens et de NFT

Suite à l'exploitation, l'équipe d'Aperture Finance a publié un avis d'urgence et partagé une liste des adresses de contrats affectés. Et a également averti les utilisateurs de révoquer de toute urgence les approbations de tokens ERC-20 et les approbations de position de liquidité ERC-721 liées aux adresses à risque. 

Les approbations de portefeuille permettent aux smart contracts de déplacer les fonds des utilisateurs, et si elles restent actives, elles peuvent être exploitées après qu'un contrat soit compromis.