Imaginez-vous réveiller un matin et découvrir que plus de 128 millions de dollars de liquidité ont disparu en quelques minutes à cause d’une simple faille mathématique. C’est exactement ce qui est arrivé aux utilisateurs de Balancer le 3 novembre 2025. Trois semaines plus tard, le protocole annonce enfin un plan concret de remboursement. Et même si tout n’est pas récupéré, 8 millions de dollars sont prêts à être redistribués. Voici l’histoire complète d’un des plus gros exploits DeFi de l’année… et surtout de ce qui va se passer maintenant.
Balancer propose enfin un plan de remboursement après l’exploit historique de sa V2
Le 27 novembre 2025, un sujet est apparu sur le forum de gouvernance Balancer : “Distribution des fonds récupérés suite à l’exploit V2”. Derrière ce titre administratif se cache la première vraie bonne nouvelle pour des milliers de fournisseurs de liquidité qui avaient tout perdu en quelques blocs.
Le montant en jeu ? 8 millions de dollars sauvés grâce à l’intervention rapide de whitehats et des équipes internes. Un autre lot de 19,7 millions (principalement en osETH et osGNO) est géré séparément par StakeWise. On est encore loin des 128 millions volés, mais c’est déjà un début.
Que s’est-il réellement passé le 3 novembre ?
Tout a commencé par une vulnérabilité dans le calcul de l’invariant des pools Balancer V2. Une erreur de précision (precision-loss) dans la gestion des tokens à faible décimale a permis à l’attaquant de créer une boucle d’arbitrage infinie.
En pratique : il déposait des montants minuscules, manipulait le ratio du pool, retirait énormément, et recommençait. Le tout en quelques transactions. Résultat ? Plus de 128 millions de dollars vidés sur Ethereum et plusieurs layer-2 en moins de dix minutes.
« C’était comme regarder un camion-benne vider une piscine olympique avec une cuillère… mais en accéléré x1000. »
Un développeur anonyme présent sur le Discord Balancer ce soir-là
Les whitehats, ces héros méconnus qui ont limité la casse
Dès les premières alertes, plusieurs acteurs indépendants (whitehats) ont lancé des opérations de sauvetage. Certains ont front-run l’attaquant pour vider les pools avant lui et mettre les fonds en sécurité. D’autres ont travaillé directement avec l’équipe Balancer pour geler les smart contracts affectés.
Aujourd’hui, le protocole reconnaît officiellement leur rôle et propose de leur verser 10 % de bounty sur les actifs qu’ils ont sauvés, payés dans les mêmes tokens. Une condition toutefois : passer par un processus complet de KYC et de vérification sanctions OFAC. Tous les whitehats impliqués ont déjà été validés, leurs identités resteront confidentielles.
Ce que les whitehats vont recevoir :
- 10 % du montant qu’ils ont personnellement récupéré
- Paiement en nature (même token sauvé)
- Identité protégée mais KYC obligatoire
- Pas de rétroactivité sur les fonds déjà rendus volontairement
Comment les fournisseurs de liquidité vont-ils être remboursés ?
La proposition est claire : remboursement pro-rata selon la détention de BPT (Balancer Pool Tokens) au moment du snapshot, pris juste avant la première transaction d’attaque sur chaque réseau.
Très important : le remboursement sera non socialisé. Cela signifie que les fonds récupérés d’un pool donné iront exclusivement aux LP de ce pool-là. Pas de dilution entre les différents pools touchés.
Le paiement se fera en nature : vous recevrez exactement les tokens qui ont été sauvés dans votre pool (USDC, WETH, etc.). Une interface de claim sera développée. Les utilisateurs devront accepter les conditions de Balancer avant de récupérer leurs fonds. Les actifs non réclamés après la période de claim seront soumis à un vote de gouvernance ultérieur.
Le cas particulier des 19,7 millions toujours chez StakeWise
Une partie importante des fonds sauvés concerne des tokens stakés osETH et osGNO issus de StakeWise. Ces actifs étant verrouillés dans des mécanismes de staking/retrait, leur récupération prend plus de temps.
StakeWise a déjà annoncé qu’elle traiterait cette partie séparément. Aucune date précise n’est donnée, mais la communauté reste confiante quant à leur retour final dans l’écosystème Balancer.
Pourquoi seulement 8 millions sur 128 ? Où est passé le reste ?
La dure réalité : la majorité des fonds volés a été rapidement blanchie via des mixers type Tornado Cash ou Railgun, puis convertie en ETH et dispersée. Malgré les efforts coordonnés avec Chainalysis et plusieurs exchanges, la plus de 90 millions restent aujourd’hui introuvables ou hors de portée juridique.
Les 8 millions redistribués proviennent exclusivement :
- Des interventions whitehat qui ont devancé l’attaquant
- Des fonds bloqués dans des contrats gelés par Balancer
- De quelques retours volontaires (très rares)
Ce que cela nous apprend sur la sécurité DeFi en 2025
Cet exploit a révélé plusieurs failles structurelles toujours présentes dans certains protocoles historiques :
- Les pools V2, bien qu’en fin de vie, représentaient encore des centaines de millions de TVL
- Une simple erreur de précision peut causer des dégâts colossaux
- La réponse communautaire (whitehats + équipes) peut limiter les pertes à ~6-7 % des pertes totales
- Le KYC obligatoire pour les bounties pose question dans un écosystème censé être pseudonyme
Bref, même en 2025, la DeFi reste un Far West où la vigilance reste le meilleur bouclier.
Et après ? Prochaines étapes pour Balancer
La proposition est actuellement en phase de discussion sur le forum. Un vote on-chain devrait intervenir dans les tous prochains jours. Si elle passe, le développement de l’interface de claim commencera immédiatement.
Parallèlement, Balancer continue la migration forcée de tous les pools V2 vers V3, beaucoup plus sécurisée, avec de nouveaux invariants et des audits renforcés. Objectif : zéro TVL restant sur V2 d’ici fin 2025.
« Nous avons tiré les leçons de cet incident. Chaque dollar rendu est une preuve que la DeFi peut se relever plus forte. »
Message officiel de l’équipe Balancer, 27 novembre 2025
En attendant, les LP concernés peuvent d’ores et déjà vérifier leur éligibilité en consultant leur solde BPT aux blocs snapshot (les numéros seront publiés dès le vote passé).
Une page se tourne pour Balancer. Pas totalement blanche, mais avec 8 millions rendus et une communauté qui a montré une résilience exemplaire. Dans un écosystème où les exploits font malheureusement partie du paysage, savoir rebondir avec transparence reste la différence entre un protocole mort et un protocole qui continue d’avancer.
À suivre dans les prochaines semaines pour savoir si le vote passe… et surtout si d’autres fonds seront retrouvés.
