Vol de 30k$ en Crypto chez Co-fondatrice Espresso

Imaginez préparer une présentation importante sur la confidentialité dans les cryptomonnaies, et soudain, votre portefeuille se vide sous vos yeux. C’est exactement ce qui est arrivé à Jill Gunter, une vétérane du secteur et co-fondatrice d’Espresso Systems. Plus de 30 000 dollars en USDC ont disparu en un clin d’œil, à cause d’une vulnérabilité oubliée dans un ancien contrat. Cet incident rappelle brutalement que, même pour les experts, la sécurité reste un défi permanent dans l’univers crypto.

Cet événement, survenu le 9 décembre 2025, a été révélé publiquement par Jill Gunter elle-même sur les réseaux sociaux. Elle a partagé les détails avec une transparence rare, transformant une perte personnelle en alerte pour toute la communauté. Derrière ce vol se cache une faille technique complexe, mais aussi des leçons précieuses sur les risques persistants des smart contracts.

Une vulnérabilité dans un contrat Thirdweb à l’origine du drame

Tout a commencé avec un contrat legacy de Thirdweb, une plateforme populaire pour déployer des smart contracts. Jill Gunter avait utilisé ce contrat il y a longtemps pour un simple transfert de 5 dollars. À l’époque, elle avait accordé une approbation illimitée de tokens, une pratique courante mais risquée.

En avril 2025, Thirdweb avait pourtant découvert cette vulnérabilité : le contrat permettait à n’importe qui d’accéder aux fonds des utilisateurs ayant donné des approbations unlimited. La société pensait avoir résolu le problème, mais un ancien contrat n’a pas été correctement désactivé. Résultat : il est resté exploitable des mois plus tard.

Le 9 décembre, alors que Jill transférait des USDC dans son wallet principal pour financer un investissement, l’attaquant a profité de cette ancienne approbation. Les fonds ont été drainés et routés via Railgun, un protocole de confidentialité, rendant le traçage plus difficile.

Je ne sais pas si je récupérerai mes fonds. C’est un risque du métier dans cette industrie. Si je les récupère, je les donnerai à la SEAL Security Alliance.

Jill Gunter, co-fondatrice d’Espresso

Cette citation illustre parfaitement l’état d’esprit des pionniers du secteur : une résilience face aux pertes, mais aussi une volonté d’améliorer la sécurité collective.

Comment s’est déroulé le vol technique ?

Le portefeuille concerné était jrg.eth, un adresse bien connue de Jill Gunter. La veille du vol, elle y avait transféré des USDC depuis un autre wallet. Le lendemain, une transaction suspecte a vidé le solde.

L’analyse on-chain montre une interaction avec l’adresse du contrat vulnérable (0x81d5…). L’attaquant a utilisé l’approbation ancienne pour appeler la fonction de transfert. Les fonds ont ensuite été envoyés vers une adresse intermédiaire (0xF215…), avant d’être mélangés dans Railgun.

Cette chronologie montre à quel point les attaques peuvent être rapides et silencieuses. Jill Gunter préparait une conférence à Washington sur la privacy crypto – ironie du sort – quand tout s’est produit.

La réponse de Thirdweb face à l’incident

Thirdweb a réagi rapidement après l’alerte de Jill Gunter. La société a publié un billet de blog expliquant que le problème venait d’un contrat legacy non désactivé lors de la correction d’avril. Ils ont immédiatement et définitivement neutralisé ce contrat.

Ils ont aussi assuré qu’aucun autre wallet ou fonds n’était désormais en danger. Le contrat compromis est maintenant marqué comme tel sur Etherscan, alertant les utilisateurs potentiels.

Cependant, Thirdweb n’a pas annoncé de compensation automatique pour les victimes. Jill Gunter a indiqué qu’elle ne comptait pas particulièrement sur un remboursement, voyant cela comme un risque inhérent au secteur.

Un précédent en 2023 qui aurait dû alerter

Cet incident n’est pas le premier pour Thirdweb. Fin 2023, une vulnérabilité dans une bibliothèque open-source largement utilisée avait touché plus de 500 contrats de tokens. Selon ScamSniffer, au moins 25 exploitations avaient été recensées.

À l’époque, la méthode de divulgation avait été critiquée. Thirdweb avait publié une liste des contrats vulnérables avant que tous les projets concernés puissent se protéger, offrant ainsi une fenêtre d’opportunité aux attaquants.

Pascal Caversaccio, chercheur en sécurité chez SEAL, avait publiquement dénoncé cette approche, estimant qu’elle mettait la communauté en danger.

Fournir une liste publique de contrats vulnérables revient à donner un mode d’emploi aux hackers avant que les victimes puissent réagir.

Pascal Caversaccio, SEAL Security

Ces critiques soulignent un dilemme récurrent en sécurité blockchain : comment divulguer responsablement sans créer une course entre développeurs honnêtes et attaquants.

Les leçons à tirer pour tous les utilisateurs crypto

Cet incident, bien que regrettable, offre des enseignements précieux pour l’ensemble de la communauté. La première règle d’or reste de révoquer régulièrement les approbations de tokens. Des outils comme Revoke.cash ou Etherscan permettent de vérifier et annuler les permissions accordées.

Une approbation illimitée, même ancienne, peut resurgir des années plus tard. Mieux vaut limiter les montants autorisés ou utiliser des wallets avec gestion fine des permissions.

Ces habitudes simples peuvent éviter bien des drames. Même les experts comme Jill Gunter peuvent être pris au dépourvu par une ancienne interaction oubliée.

Pourquoi les contrats legacy posent autant de problèmes

Dans le monde blockchain, les contrats sont immuables une fois déployés. Impossible de les modifier directement. Pour corriger une faille, il faut souvent déployer une nouvelle version et migrer les utilisateurs.

Mais tous les utilisateurs ne migrent pas. Certains contrats anciens restent utilisés ou simplement oubliés, avec des approbations toujours valides. C’est ce qui s’est passé ici : le contrat bridge de Thirdweb n’était plus promu, mais techniquement actif.

Ce problème de “contrats zombies” touche de nombreuses plateformes. Les développeurs doivent non seulement corriger les failles, mais aussi trouver des moyens de désactiver complètement les anciennes versions.

Des mécanismes comme des timelocks, des pauses d’urgence ou des migrations forcées existent, mais ils ne sont pas toujours mis en place. L’incident Thirdweb montre qu’une désactivation partielle ne suffit pas.

L’impact sur la confiance dans les infrastructures crypto

Jill Gunter est une figure respectée, avec plus de dix ans d’expérience. Elle a investi dans de nombreux projets majeurs et co-fondé Espresso Systems, une solution de séquestration pour Ethereum. Quand une personne de ce calibre est touchée, cela envoie un signal fort.

Beaucoup d’utilisateurs se demandent : si même les experts se font voler, comment les novices peuvent-ils se protéger ? Cet événement risque de freiner l’adoption par les institutionnels, déjà très sensibles aux questions de sécurité.

Cependant, la transparence de Jill Gunter et la réponse rapide de Thirdweb peuvent aussi avoir l’effet inverse : montrer que la communauté sait réagir et apprendre de ses erreurs.

Vers une meilleure gestion des vulnérabilités dans l’écosystème

Des initiatives comme SEAL Security Alliance, que Jill Gunter souhaite soutenir, jouent un rôle crucial. Elles coordonnent les divulgations responsables et aident les projets à corriger leurs failles discrètement.

Les plateformes comme Thirdweb pourraient adopter des processus plus stricts : audits systématiques des contrats legacy, alertes automatiques aux utilisateurs ayant des approbations anciennes, ou même des programmes de bug bounty spécifiques pour les vieux contrats.

Enfin, les wallet providers pourraient intégrer nativement des outils de révocation et des alertes sur les risques d’approbations obsolètes.

L’incident du 9 décembre 2025 ne sera probablement pas le dernier vol lié à une ancienne approbation. Mais il peut marquer un tournant si la communauté en tire les bonnes conclusions. La sécurité crypto évolue par l’expérience, souvent douloureuse, de ses membres les plus expérimentés.

En attendant, chacun peut agir dès aujourd’hui : vérifiez vos approbations, limitez vos permissions, et restez vigilant. Parce que dans ce monde décentralisé, la première ligne de défense reste l’utilisateur lui-même.