Un Vieux Contrat Rain Vide 1,1 Million Aux Cartes Crypto

On croit souvent que le danger, en crypto, se résume à un mot de passe oublié, à une fausse page de connexion ou à une signature signée trop vite. Le 28 août 2026, ce schéma a volé en éclats. Un contrat Rain trop ancien, déployé sur Solana, a permis à un attaquant de vider environ 1,1 million de dollars de soldes cartes alimentés en stablecoins. Les portefeuilles personnels des clients n ont pas bougé. Les clés privées non plus. Ce qui a sauté, c est la couche que personne ne regarde assez : le contrat qui garde le collatéral une fois l argent déposé pour payer au restaurant, en ligne ou à l étranger.

Quand Une Carte Crypto Devient Une Cible De Contrat

Rain n est pas une banque classique. C est une brique d infrastructure. Des néobanques crypto s en servent pour émettre des cartes alimentées en USDC et en USDT. Le client dépose, le solde carte se charge, et l argent quitte alors son portefeuille auto-custodial pour entrer dans des comptes de collatéral gérés on-chain. À partir de là, la sécurité ne dépend plus seulement de l utilisateur. Elle dépend du code, des droits d administration et de la version du contrat encore en production.

Blockaid, société de sécurité on-chain, a décrit l opération comme un enchaînement préparé, rapide et répétitif. En un peu moins de deux heures et demie, des milliers d instructions ont permis d ajouter des droits d administrateur puis de retirer les actifs. Avici a annoncé 500 859 dollars prélevés chez 1 685 utilisateurs. Tria a fait état d environ 431 945 dollars chez 636 clients. Le reste de l estimation à 1,1 million concerne d autres programmes encore appuyés sur la même brique.

Les portefeuilles auto-custodiaux n ont pas été ouverts. L attaquant a visé les contrats séparés qui détenaient les soldes déjà chargés sur les cartes.

Blockaid, synthèse publique de l incident

Ce Que L On Sait Du Déroulé

L attaque n a pas cassé Solana. Le réseau a continué d enregistrer des blocs comme d habitude. Le défaut se trouvait dans une version obsolète du contrat carte de Rain. Quatre déploiements présentaient le même empreinte d opcode que le code vulnérable. Au moins deux ont été drainés. Les deux autres portaient la même faiblesse, sans pertes confirmées au moment des premiers rapports.

Rain a indiqué que ses systèmes de surveillance avaient repéré une faille touchant un petit nombre de programmes encore branchés sur l ancienne version. Tous les programmes concernés ont ensuite été mis à niveau. L entreprise a aussi assuré que les utilisateurs touchés seraient indemnisés. En revanche, un rapport technique complet, avec historique des versions et date d introduction du défaut, n a pas été publié au moment des premières communications.

Pourquoi Les Soldes Cartes N Étaient Pas Dans Le Wallet

C est le point que beaucoup de lecteurs confondent encore. Une carte crypto n est pas toujours un simple miroir du portefeuille. Chez plusieurs néobanques, le dépôt destinés aux paiements bascule vers un compte de collatéral. Ce compte sert à garantir les autorisations de paiement. Il n appartient plus, au sens opérationnel, au même périmètre que la graine mnémonique du client.

Le modèle a des avantages. Il permet d émettre des cartes, de gérer le risque marchand et de fluidifier les règlements. Il a aussi un coût invisible : dès que l argent change de contrat, l utilisateur hérite de la qualité du code d un tiers. Un audit passé, une version oubliée, une permission trop large, et le collatéral devient une cible plus rentable qu un vol de clés unitaire.

Dans l affaire Rain, cette séparation a protégé les wallets personnels. Elle n a pas protégé l argent déjà chargé. C est précisément pour cela que les conseils habituels — ne jamais signer un message douteux, vérifier l URL, isoler une graine froide — n auraient rien changé. L utilisateur n a pas signé l attaque. Le contrat l a acceptée.

La Faille : Une Double Autorisation Qui N En Était Plus Une

Selon l analyse de Blockaid, l ancien contrat exigeait deux autorisations indépendantes avant certaines actions sensibles. Il s appuyait sur les instructions de vérification Ed25519 de Solana. Sur le papier, deux signatures distinctes devaient valider l opération. Dans les faits, l attaquant a manipulé la seconde instruction de vérification.

Les offsets de signature, de clé publique et de message de la seconde vérification renvoyaient vers des informations déjà présentes dans la première instruction. Le contrat a donc traité une seule signature contrôlée par l attaquant comme deux approbations séparées. Le verrou humain tombait sans que le véritable propriétaire du compte de collatéral ait rien autorisé.

Une fois ce contrôle contourné, l attaquant a utilisé une instruction AddCollateralAdmin pour s octroyer des privilèges d administration sur des comptes individuels. Puis il a appelé WithdrawCollateralAsset pour extraire l USDC et l USDT. Blockaid a relevé 2 945 ajouts d administrateur et 5 288 appels de retrait. Les deux premiers retraits réussis n étaient séparés que de trois secondes. Ce rythme ne ressemble pas à un bricolage improvisé. Il ressemble à un script déjà prêt.

Une signature unique a suffi à faire croire au contrat qu il en avait reçu deux. Ensuite, l administration des comptes est devenue une formalité automatique.

Reconstitution technique à partir des observations on-chain

La Fuite De L Argent : Solana, Debridge, Ethereum, Mixeur

Les stablecoins retirés se sont accumulés dans un portefeuille Solana identifié comme FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj. L attaquant a ensuite échangé ces dollars tokenisés contre du SOL sur des places décentralisées. Le trajet n s est pas arrêté là. Les fonds ont quitté Solana pour Ethereum via le protocole inter-chaînes deBridge.

Environ 455,9 ETH sont ensuite entrés dans Tornado Cash entre 19 h 20 et 19 h 49 UTC, toujours selon Blockaid. Un mixeur de ce type mélange les dépôts et autorise des retraits vers des adresses qui ne sont plus publiquement reliées aux portefeuilles d origine. À ce stade, la piste publique s brouille. Aucune récupération n a été annoncée après cette étape.

Blockaid a aussi relié deux adresses Ethereum au financement initial de l activité Solana de l attaquant. Ni Rain ni une autorité publique n ont, dans les premiers échanges, nommé les personnes derrière ces adresses. Il faut le dire clairement : une traçabilité on-chain n est pas une identification civile. Elle décrit un chemin. Elle ne clôt pas un dossier.

Avici, Tria Et Le Prix De La Confiance

Avici a choisi la voie du remboursement intégral des soldes touchés, plus un cashback de 10 %. Tria a indiqué que chaque client concerné était en cours d indemnisation. Ces deux seules divulgations couvrent 932 804,22 dollars. Elles ne ferment pas le compte global de 1,1 million. Elles montrent surtout que, dans ce métier, la survie commerciale passe souvent par une décision simple : payer d abord, expliquer ensuite.

Le marché n a pas attendu les communiqués pour réagir. Le jeton d Avici a chuté de 49 % par rapport à son plus haut du jour, jusqu à un plus bas rapporté à 0,217 dollar, avant un rebond partiel. Le jeton de Tria a reculé de plus de 10 % à un moment de la séance. Ces mouvements ne prouvent pas à eux seuls la qualité technique du produit. Ils rappellent qu un incident de collatéral se lit aussi comme un choc de réputation.

Solayer Pay a été nommé parmi les programmes exposés, sans chiffre vérifié de manière indépendante. Cette zone grise compte. Tant qu un inventaire public des déploiements vulnérables n existe pas, les clients des autres cartes Rain restent dans un entre-deux : rassurés par les mises à niveau, mais privés d une cartographie nette.

Ce Que Rain A Dit, Et Ce Qui Manque Encore

Rain a confirmé la cause : un contrat périmé. L entreprise a déclaré avoir mis à niveau tous les programmes encore accrochés à cette version. Elle a affirmé qu aucune nouvelle activité non autorisée n avait été observée après ces changements. Elle a aussi promis que les utilisateurs concernés seraient rendus entiers.

Plusieurs questions restent ouvertes. Quelle version exacte a introduit le défaut ? Pourquoi certains programmes tournaient-ils encore dessus ? Un audit avait-il déjà signalé le problème d autorisation ? Rain paiera-t-il directement les programmes, ou chaque néobanque portera-t-elle le coût ? Sans historique de versions et sans liste exhaustive des déploiements, le public doit s en tenir à une reconstitution partielle.

Un Incident Local, Une Leçon D Infrastructure Partagée

Rain vend une infrastructure commune. Plusieurs émetteurs de cartes s branchent sur les mêmes logiques de contrat. L avantage est évident : moins de code à réinventer, plus de vitesse de mise sur le marché. L inconvénient l est tout autant. Une version oubliée ne touche plus un seul produit. Elle traverse une flotte.

Blockaid a insisté sur ce point en présentant ses outils de surveillance comme une manière de détecter un exploit à travers plusieurs déploiements. Derrière le discours commercial, il y a un constat plus sec. Quand le même opcode circule d un programme à l autre, le risque n est plus un bug isolé. C est un risque de grappe.

On a déjà vu ce schéma ailleurs. Un pont réutilisé, un contrat jamais retiré, une mise à jour appliquée ici mais pas là. Dans d autres dossiers de 2026, le même pont Verus a été attaqué deux fois en deux mois. Le détail technique change. La morale opérationnelle, elle, revient : une correction n existe vraiment que lorsqu elle est déployée partout où le code fragile vit encore.

Solana N Est Pas Le Coupable, Le Code Applicatif L Est

Il est tentant, après chaque vol, de pointer la chaîne. Ici, ce serait un faux procès. Solana a traité des transactions valides au regard de ses règles. Le contrat applicatif a mal interprété une construction d instructions. C est une nuance essentielle pour les lecteurs qui découvrent ces sujets. Une blockchain peut être disponible, rapide, et malgré tout héberger une application qui se trompe sur ses propres gardes-fous.

La même logique s applique à d autres pertes récentes. Un contrôle de collatéral défaillant a permis un exploit DeFi de 75 millions de dollars. Le réseau sous-jacent n s est pas arrêté. L application a laissé passer ce qu elle aurait dû refuser. Les cartes Rain s inscrivent dans cette famille d incidents : pas une panne de consensus, une erreur de logique métier gravée dans un programme.

Cette distinction compte pour la régulation comme pour l usage quotidien. Si l on confond couche de règlement et couche produit, on tire les mauvaises leçons. On demande à la chaîne d interdire ce qu un contrat mal écrit autorise. On néglige alors l hygiène de version, les droits d admin et le suivi des déploiements jumeaux.

Le Contexte 2026 : Des Pertes Qui S Empilent

Blockaid a rappelé qu environ 1,1 milliard de dollars avaient déjà été perdus au premier semestre 2026 du fait de défaillances de sécurité crypto. L affaire Rain, à 1,1 million, n est pas le plus gros dossier de l année. Elle est révélatrice pour une autre raison. Elle touche un usage qui se voulait banal : payer avec une carte, comme on le ferait avec un compte en ligne.

Plus le secteur pousse les stablecoins vers le quotidien, plus les contrats de collatéral deviennent des coffres collectifs. Ils attirent moins l attention médiatique qu un pont spectaculaire. Ils concentrent pourtant l argent de milliers de petits soldes. Un attaquant n a plus besoin de piéger un utilisateur après l autre. Il cherche la fonction qui ouvre beaucoup de tiroirs d un seul mouvement.

Les institutions le disent désormais à leur manière. Les audits ponctuels ne suffisent plus quand un contrat reste en production des mois après une correction. La surveillance continue, le suivi des hashes de code et l inventaire des déploiements deviennent aussi importants que le rapport PDF signé avant le lancement.

Ce Que Les Utilisateurs Peuvent Réellement Contrôler

Il faut éviter deux caricatures. La première consiste à dire que tout dépôt carte est une folie. Des millions de paiements se font chaque jour sans incident. La seconde consiste à croire que « non-custodial » protège l argent dès qu il a quitté le wallet pour un contrat de service. Les deux phrases sont trop courtes pour décrire le risque réel.

Un utilisateur peut encore réduire sa surface. Il peut ne charger que le montant dont il a besoin à court terme. Il peut vérifier si le prestataire publie les adresses de contrats, les versions et les audits. Il peut séparer un wallet de dépenses d un coffre long terme. Aucun de ces gestes n aurait stoppé l instruction malveillante du 28 août. Ils auraient limité la taille du tiroir ouvert.

Les entreprises, elles, ont une liste plus lourde. Suivre chaque déploiement. Retirer réellement les versions mortes. Limiter les instructions d administration. Surveiller les motifs de transactions identiques sur des comptes distincts. Prévoir une caisse d indemnisation avant l incident, pas après le communiqué. Ces mesures n ont rien de spectaculaire. Elles décident pourtant si un bug reste un incident interne ou devient une une mondiale.

• Limiter le solde chargé sur la carte au besoin immédiat, plutôt qu à l épargne de précaution.
• Séparer les rôles entre wallet personnel, compte de dépenses et éventuel coffre froid.
• Exiger de la transparence sur les versions de contrats et les mises à niveau.
• Surveiller les alertes du prestataire plutôt que d attendre un mouvement de jeton en bourse.

Pourquoi Cette Affaire Ressemble À D Autres, Sans Être Identique

Les exploits se ressemblent souvent par la sortie, rarement par l entrée. Ici, l entrée est une vérification de signature mal câblée. Ailleurs, ce sera un oracle, un pont, une fonction de mint oubliée, un rôle d admin laissé à une clé chaude. La sortie, elle, revient avec une régularité lassante : swap, pont, mixeur.

Le passage par deBridge n en fait pas un exploit de pont. Le pont a servi de véhicule, pas de cible principale. Tornado Cash n est pas non plus la cause. C est la dernière pièce visible d une chaîne de blanchiment on-chain. Confondre véhicule et brèche conduit encore une fois à de mauvaises priorités : on débat du mixeur pendant que des versions anciennes restent en ligne.

Le parallèle le plus utile n est donc pas « encore un hack Solana ». C est « encore une flotte de contrats jumeaux mal suivie ». Les cartes stables, les comptes de collatéral, les coffres partagés et certains modules de néobanques vivent dans cette zone. Elles promettent la simplicité d une fintech. Elles reposent sur la discipline d une équipe qui doit traiter chaque déploiement comme s il pouvait être le prochain point d entrée.

Indemnisation, Tokens Et Lecture De Marché

Quand une néobanque rembourse, elle achète du temps et de la confiance. Elle n efface pas la faille. Avici a ajouté un cashback de 10 %, geste commercial autant que signal. Tria a mis en avant le remboursement client par client. Ces choix protègent la base d utilisateurs. Ils laissent intacte la question B2B : qui porte le risque quand l infrastructure commune dérape ?

Les jetons associés ont servi de thermomètre émotionnel. Une chute de 49 % sur Avici après les premières informations dit surtout que le marché traite encore ces projets comme des histoires de confiance plus que comme des flux de paiement. Un rebond partiel ne dit pas que le code est sain. Il dit que l offre de remboursement a calmé une partie de la vente panique.

Il serait malhonnête d attribuer toute la baisse à l exploit. Le marché crypto du moment a ses propres vents. Mais ignorer le lien entre une vidange de collatéral et un jeton d écosystème serait tout aussi naïf. Les investisseurs vendent d abord ce qu ils comprennent le moins bien dans l urgence : la gouvernance du risque.

Ce Que Les Émetteurs De Cartes Devraient Changer Maintenant

Un prestataire d infrastructure carte ne peut plus se contenter d un audit initial. Il lui faut un registre vivant des programmes, de leurs hashes, de leurs autorités et de leurs dates de gel. Si quatre déploiements partagent la même empreinte vulnérable, c est que le processus de retraite des vieilles versions a un trou.

Les permissions d administration doivent être traitées comme des armes. Une instruction qui ajoute un admin sur un compte de collatéral n a rien d anodin. Elle devrait être rare, journalisée, éventuellement timelockée, et surtout impossible à débloquer par une seule signature rejouée. Le détail Ed25519 de cette affaire le montre : la sécurité n est pas seulement « il faut deux signatures ». C est « le contrat doit prouver que ces deux signatures parlent de messages distincts ».

Enfin, la communication technique après incident n est pas un luxe pour chercheurs. C est un outil de prévention collective. Sans rapport détaillé, d autres équipes qui ont copié des motifs proches avanceront à l aveugle. Avec un rapport, elles peuvent chercher le même motif d offsets mal liés avant qu un script ne le fasse pour elles.

Une Lecture Plus Large Du Risque Néobanque Crypto

Les néobanques crypto vendent une promesse hybride. D un côté, la liberté d un actif on-chain. De l autre, le confort d une carte qui passe chez un commerçant. Cette hybridité crée une zone grise juridique et technique. L argent n est plus tout à fait dans la poche du client, plus tout à fait dans une banque réglementée à l ancienne. Il est dans un programme.

Cette zone grise n interdit pas le produit. Elle impose une honnêteté de vocabulaire. Dire « vos clés, vos coins » tout en basculant le solde carte vers un contrat tiers, c est mélanger deux régimes de risque. Mieux vaut dire : le wallet reste à vous ; le solde carte dépend de notre infrastructure et de ses mises à jour. La phrase est moins magique. Elle est plus vraie.

Les régulateurs regarderont ces dossiers avec une question simple. Quand un client charge une carte, croit-il déposer chez un établissement qui répond d un devoir de garde, ou croit-il interagir avec un smart contract dont il accepte le risque de code ? L écart entre ces deux croyances est aujourd hui trop grand. L incident Rain le rend visible.

Chronologie Utile Pour Ne Pas Se Perdre

Le 28 août, l attaquant exploite l ancienne version. Les retraits s enchaînent à cadence machine. Les stablecoins se regroupent, passent en SOL, puis vers Ethereum. Dans la soirée UTC du 2 septembre côté communication publique, Blockaid décrit le schéma et le volume. Avici et Tria détaillent leurs pertes clients. Rain annonce des mises à niveau et une remise à niveau des utilisateurs touchés.

Entre ces dates, le plus important n est pas le fil Twitter. C est le délai pendant lequel une version morte a continué de vivre. On ne sait pas encore combien de temps exactement. On sait seulement que ce temps a suffi. Dans la sécurité on-chain, le calendrier des correctifs vaut parfois plus que la gravité théorique du bug.

Les prochaines heures et les prochains jours diront si d autres programmes publient leurs chiffres, si un rapport technique sort, et si des fonds réapparaissent hors du mixeur. En l état, la piste publique s arrête là où Tornado Cash commence. C est une fin frustrante. C est aussi une fin fréquente.

Ce Qu Il Faut Retenir Sans Se Noyer Dans Le Jargon

Un contrat trop vieux a traité une signature comme deux. Des comptes de collatéral ont changé d administrateur. Des stablecoins destinés à des cartes ont quitté ces comptes. Les wallets personnels sont restés fermés. Deux néobanques ont déjà chiffré plus de 932 000 dollars de pertes clients. L estimation d ensemble grimpe à 1,1 million. Une partie de l argent a été mélangée sur Ethereum. Les programmes concernés ont été mis à niveau, d après Rain.

Si l on devait garder une seule phrase, ce serait celle-ci : la self-custodie s arrête là où commence le contrat de service. Ce n est ni un appel à tout retirer des cartes, ni un blanc-seing donné aux attaquants. C est une ligne de partage. Tant que le secteur la brouille, les prochaines unes ressembleront à celle-ci, avec d autres noms et le même basculement de fonds hors d un collatéral mal gardé.

On peut garder la maîtrise de son portefeuille et perdre malgré tout l argent déjà chargé sur une carte. Les deux faits ne se contredisent pas. Ils décrivent deux coffres différents.

Lecture de l incident Rain

Et Maintenant ?

Les clients remboursés pourront reprendre une carte avec un solde plus prudent. Les équipes sécurité passeront au peigne fin les instructions de vérification et les droits d admin. Les concurrents de Rain auront intérêt à publier leurs propres inventaires de versions, ne serait-ce que pour éviter d être associés par amalgame. Les chercheurs, eux, attendront un write-up assez précis pour chercher le même motif ailleurs.

L affaire n a rien d un verdict contre les paiements en stablecoins. Elle dit plutôt que le quotidien crypto, celui des tickets de caisse et des abonnements, repose sur des programmes qu il faut traiter avec la même obsession que les ponts à plusieurs centaines de millions. Un million de dollars paraît petit à côté du milliard perdu au premier semestre. Il est énorme pour 2 321 utilisateurs déjà identifiés chez Avici et Tria. C est à cette échelle humaine que se joue désormais une partie de la crédibilité du secteur.

Le contrat a été mis à niveau. L argent mélangé, lui, n est pas revenu. Entre ces deux phrases se tient toute la leçon : on peut fermer une porte après coup. On ne reconstitue pas toujours ce qui est déjà passé de l autre côté.