ZetaChain aurait été piraté pour un montant de 87 dollars. Pas des millions.

Le monde des cryptomonnaies a connu son lot de mauvaises journées cette année, mais celle-ci est particulièrement cocasse. Selon un message de Kreig_DK sur X, ZetaChain a été piraté « hier » et les pertes s'élèvent à 87 $. Le fil d'actualités de KuCoin a relayé l'information le 23 octobre, la qualifiant de « mème du jour ».

Quatre-vingt-sept dollars. Des frais de change élevés un après-midi calme seraient plus préjudiciables.

Passons maintenant à la partie décevante. Au 24 octobre, je ne peux rien confirmer. Je n'ai trouvé aucune déclaration de ZetaChain, aucune alerte de PeckShield ou CertiK, et aucun hachage de transaction joint à la publication. Pour l'instant, il s'agit d'une simple allégation accompagnée d'un chiffre étrange, et non d'un incident vérifié.

Le piratage d'avril n'était pas une blague.

La véritable faille de ZetaChain a eu lieu en avril, et personne n'a ri. Le 27 avril, l'équipe a annoncé sur X que son contrat GatewayEVM avait été attaqué, que seuls les portefeuilles internes de l'équipe avaient été touchés et que les transactions inter-chaînes étaient suspendues. SlowMist a identifié la cause première : la fonction d'appel de GatewayZEVM, qui ne disposait d'aucun contrôle d'accès ni de validation des entrées. Il est à noter que les noms des contrats diffèrent entre les deux déclarations.

Les premières estimations des pertes étaient très variables. The Block évoquait 300 000 $ pour DefiLlama, tandis que Cryptopolitan estimait le préjudice à moins de 10 000 $. L' analyse a posteriori a révélé un montant de 333 868 $ répartis sur neuf transactions sur Ethereum, Arbitrum, Base et BNB Smart Chain, toutes effectuées à partir de trois portefeuilles appartenant à l'équipe. Les médias divergent même sur la date : The Block parle du 24 avril, tandis que crypto.news évoque le dimanche 26 avril.

L'attaquant avait bien préparé son coup. Le portefeuille avait été approvisionné via Tornado Cash trois jours auparavant, un contrat de vidage personnalisé avait été déployé et une campagne d'empoisonnement d'adresses avait été menée avant le vidage, selon crypto.news. Le vidage s'appuyait également sur des autorisations de jetons illimitées qui n'avaient été révoquées par personne. De plus, cette vulnérabilité avait déjà atteint ZetaChain via son programme de primes aux bogues, où les premiers signalements avaient été considérés comme un comportement intentionnel.

Ce dernier détail est celui que je ne peux ignorer. Perdre 334 000 $ dans les caisses de l'équipe est une leçon qui coûte cher. Être informé du problème à l'avance et le qualifier de « volontaire » est une tout autre forme d'humiliation.

La perte d'avril était environ 3 800 fois supérieure à 87 dollars.

Une chaîne sur le point de se détacher

Pour ceux qui auraient décroché : ZetaChain a été lancée en 2021 en tant que couche d'interopérabilité de niveau 1, proposant une chaîne unique capable de communiquer avec Bitcoin, Ethereum et toutes les autres cryptomonnaies. Elle a levé 27 millions de dollars en 2023 auprès d'investisseurs tels que Blockchain.com, Jane Street Capital, Human Capital et Sky9 Capital, selon Cointelegraph.

Ce projet est quasiment abandonné. Selon le résumé de TokenRadar, ZetaChain a annoncé le 1er juin la suppression progressive de ses fonctionnalités inter-chaînes pour se concentrer sur Anuma, une application d'IA privée. Le 20 septembre, les détenteurs de jetons ont approuvé la Proposition 68 avec 99,4% de soutien et un taux de participation de 58%, contre un quorum de 40%. Le plan prévoit de transférer ZETA sur Solana en tant que jeton SPL au taux de 1:1 et de fermer à terme le nœud L1. D'après CryptoRank, Anuma compte désormais plus de 300 000 utilisateurs.

Le vote n'a rien bloqué. Une seconde proposition doit encore définir la date de l'instantané, la période de retrait et la date d'arrêt ; le protocole L1 est donc toujours actif. Le ZETA s'échangeait autour de 0,0407 $ sur KuCoin, en baisse d'environ 1,7 % sur la journée. Fin avril, il se négociait aux alentours de 0,054 $, selon Cryptopolitan.

ZetaChain n'est pas la seule à fermer ses portes. BounceBit a abandonné sa blockchain autonome en août après qu'une faille d'autorisation lui a coûté environ 3 millions de dollars en jetons BB. Harmony a proposé de fermer sa propre blockchain de couche 1 le 6 septembre, quelques semaines après qu'une faille a permis la création de jetons ONE non autorisés, selon Cointelegraph.

Alors, à quoi correspondaient ces 87 dollars?

Je ne sais pas, et à ma connaissance, personne ne l'a dit publiquement. Voici mon hypothèse, qui n'est qu'une supposition : des approbations de jetons restantes. Après avril, ZetaChain a demandé à tous ceux qui avaient utilisé les contrats de passerelle de révoquer leurs autorisations ERC-20, et Blockaid a diffusé le même conseil le 27 avril, en renvoyant les utilisateurs vers Revoke.cash. Certains ne l'ont certainement jamais fait. Un système qui récupère les approbations obsolètes des anciens utilisateurs d'une chaîne en déclin rapporterait vraisemblablement des sommes considérables.

Les autres options sont moins intéressantes : une petite transaction test, ou un traqueur qui qualifie de piratage une simple poussière. Choisissez votre préférée.

À titre de comparaison, PeckShield a recensé 55 incidents majeurs et environ 766,5 millions de dollars de pertes en septembre, le pire mois de 2026 à ce jour. CertiK a quant à lui comptabilisé 97 incidents et 768,4 millions de dollars, portant son total pour 2026 à 2,68 milliards de dollars pour 656 incidents, selon Bitbase. Aucun de ces tableaux de bord ne détectera 87 dollars.

Si vous avez approuvé les contrats de passerelle de paiement de ZetaChain, rendez-vous sur Revoke.cash et annulez-les. Cela ne prend qu'une minute et coûte généralement moins cher que les 87 $ dont nous avons tous ri.