Allbridge Core victime d’une attaque par manipulation de l’échange sur les pools de stablecoins, et via des flash loans, avec des pertes de plus de 1,1 million de dollars

Le protocole de pont inter-chaînes Allbridge Core a fait l’objet, le 20 juillet, d’une attaque combinant prêt flash et manipulation du taux de change du pool de stablecoins. Le suivi on-chain d’Onchain Lens indique que les pertes dépassent déjà 1,1 million de dollars. Allbridge Core a officiellement suspendu le protocole à titre de mesure préventive et recommande aux utilisateurs disposant de fonds dans les pools de liquidité (LP) concernés de retirer immédiatement leurs fonds.

Déclaration officielle d’Allbridge Core : suspension du protocole, recommandation de retrait des LP et adresses de remboursement

Allbridge Core a publié, le 20 juillet 2026, sur la plateforme X, une déclaration dont le texte original est le suivant : « Allbridge Core fait face à un incident de sécurité. Nous avons suspendu le protocole à titre de mesure préventive et menons une enquête. Si vous avez de la liquidité dans le pool de fonds concerné, veuillez la retirer immédiatement. Le déséquilibre du pool de fonds qui en résulte crée une opportunité d’arbitrage temporaire et positive. Si vous en avez profité, veuillez envisager de renvoyer les fonds à l’adresse ci-dessous — ils serviront directement à compenser les LP touchés. »

L’adresse de remboursement fournie par l’équipe officielle est 0x01a494079DCB715f622340301463cE50cd69A4D0. Au moment du rapport, l’analyse de la faille est toujours en cours et Allbridge Core n’a pas encore communiqué les chiffres finaux des pertes ni les détails techniques complets de l’attaque.

Trace on-chain de la méthode d’attaque : prêt flash, manipulation du taux du pool de stablecoins et retrait des fonds dans la même transaction

D’après l’analyse technique de détection on-chain de BlockBeats, les étapes d’exécution de cette attaque sont les suivantes :

Obtention du prêt flash : l’attaquant a obtenu un prêt flash depuis Kamino, servant de capital initial à l’attaque

Manipulation du pool de stablecoins : l’attaquant a échangé rapidement USDC et USDT, modifiant le solde de liquidité du pool de stablecoins d’Allbridge et provoquant un déséquilibre du pool

Retrait de liquidité en exploitant le taux manipulé : l’attaquant a retiré de la liquidité du pool en utilisant un taux anormalement modifié

Remboursement du prêt flash : dans la même transaction blockchain, l’attaquant a remboursé le prêt flash initial, finalisant ainsi l’ensemble du processus d’attaque

Suivi des fonds : transfert de 1,1 million de dollars et opérations de mélange des fonds ultérieures via un protocole de confidentialité

La détection on-chain de BlockBeats montre que l’attaque a débuté avec environ 1,12 million de dollars de pertes ; l’attaquant a déjà transféré environ 1,1 million de dollars et a mélangé les fonds via un protocole de confidentialité pour masquer leur destination. Le montant maximal de retrait en une seule fois de la part d’Allbridge Core est d’environ 2,24 millions de dollars, versé sous forme de USDC.

Le suivi on-chain d’Onchain Lens indique qu’au moment du rapport, les pertes dépassent 1,1 million de dollars. L’équipe officielle souligne que l’analyse de la faille est toujours en cours et qu’aucune mise à jour des statistiques des pertes n’a encore été publiée.

Questions fréquentes

Lors de l’incident de sécurité d’Allbridge Core, quelles actions les détenteurs de LP concernés devraient-ils entreprendre ?

D’après la déclaration officielle d’Allbridge Core sur la plateforme X, les utilisateurs détenant des fonds dans les pools de liquidité concernés doivent retirer leur liquidité immédiatement ; l’équipe officielle a suspendu le protocole à titre de mesure préventive et mène une enquête ; l’état le plus récent se base sur les annonces officielles d’Allbridge Core.

Les chiffres estimés des pertes de la présente attaque proviennent de quelle source ?

Le chiffre de pertes dépassant 1,1 million de dollars provient du suivi on-chain d’Onchain Lens ; les enregistrements de détection on-chain de BlockBeats indiquent que l’attaque a débuté avec environ 1,12 million de dollars de pertes. Au moment du rapport, Allbridge Core n’a pas encore publié de chiffres finaux de pertes vérifiés ; l’analyse de la faille est toujours en cours.

L’attaquant a-t-il déjà remboursé les fonds ?

Au moment du rapport du 20 juillet 2026, l’attaquant a mélangé environ 1,1 million de dollars via un protocole de confidentialité, et il n’y a pas encore d’enregistrement de remboursement ; Allbridge Core a appelé sur X les utilisateurs ayant exploité l’opportunité d’arbitrage à renvoyer les fonds à l’adresse désignée, afin de compenser les fournisseurs de liquidité touchés.