Un pirate informatique a empoché 1,2 million de dollars grâce à un seul tweet sur le compte du PDG de Robinhood.

Jeudi, le compte X de Vlad Tenev a été piraté et utilisé pour lancer une fausse cryptomonnaie. Avant que la supercherie ne soit découverte, le pirate avait déjà empoché environ 650 ETH, soit entre 1,2 et 1,3 million de dollars.

La publication affirmait que le jeton Vladhood (VLAD) était la « mascotte officielle » de Robinhood Chain, le réseau de couche 2 Ethereum de l'entreprise, lancé le 1er juillet. Elle prétendait également que le VLAD serait disponible sur l'application Robinhood. Or, ces affirmations étaient fausses. En seulement 20 minutes, la publication avait été vue plus de 175 000 fois et les achats avaient déjà commencé. Le volume d'échanges du jeton sur Uniswap a atteint 22 millions de dollars en quelques heures, ce qui illustre la rapidité avec laquelle la communauté crypto sur Twitter s'emballe lorsqu'un compte « vérifié » publie une adresse de contrat.

Le plus astucieux n'est pas le piratage en lui-même. Les prises de contrôle de comptes pour diffuser de faux tokens ne datent pas d'hier – Sydney Sweeney, 50 Cent, et bien d'autres. La différence ici réside dans la manière dont l'argent a été détourné. VLAD a été lancé via Pons, une plateforme qui bloque la liquidité tout en permettant à son auteur de percevoir les frais de transaction. Il n'y a donc pas eu de vol classique, ni de vidage massif du pool en une seule fois. L'attaquant a simplement appelé la fonction de prélèvement des frais à répétition, laissant ainsi l'ETH s'écouler tandis que le token continuait de circuler. Lorsque le compte de communication de Robinhood a publié un avertissement et que le tweet a été supprimé, l'argent avait déjà disparu. Depuis, l'explorateur de Robinhood Chain a signalé le contrat comme frauduleux.

Tenev a récupéré son compte et a déclaré qu'il « attendait des détails » de la part de X, et pour ce qui est de la situation actuelle, Robinhood n'a émis aucune cryptomonnaie.

Le timing est pour le moins troublant. Robinhood a conçu cette blockchain pour promouvoir les actions tokenisées et les actifs du monde réel. Or, les memecoins l'ont quasiment envahie. Le réseau traite des millions de transactions par jour, et la plupart ne concernent pas les actifs pondérés en fonction des ressources (RWA).

Le compte de Tenev n'était même pas le plus touché ce jour-là. Lookonchain a signalé trois attaques distinctes survenues en l'espace de 24 heures environ : AFX Trade, Verus et B² Network, pour un total de 35,55 millions de dollars. Le pont Arbitrum d'AFX Trade a perdu 24,15 millions de dollars en USDC après la compromission de ses clés de signature de validateur. Verus a de nouveau été victime d'une attaque : son pont Ethereum a perdu 7,54 millions de dollars, deux mois seulement après une attaque quasi identique de 8 millions de dollars en mai. Blockaid indique que les deux attaques ont utilisé le même contrat, la même méthode d'entrée et la même faille. Personne ne l'avait corrigée la première fois. B² Network a perdu environ 3,86 millions de dollars en son propre jeton, rapidement liquidé sur la BNB Chain.

On l'appelle, à moitié pour rire, « la journée des hackers ». Quatre incidents, quatre mécanismes différents : un compte piraté, deux failles de sécurité dans un pont, une fuite de jetons. Pas vraiment une seule histoire. Mais le schéma est toujours le même : trouver ce que personne ne surveille suffisamment – une clé privée, un ensemble de validateurs, une fonction de frais de lancement – et s'en emparer.