En mai 2025, le monde de la DeFi a été secoué par l'une des failles de sécurité les plus importantes de l'histoire récente. Cetus Protocol, l'un des principaux protocoles d'échange décentralisé (DEX) et de liquidité sur la blockchain Sui, a été victime d'un piratage sophistiqué qui a entraîné des pertes supérieures à 200 millions de dollars. Cet incident a non seulement provoqué une onde de choc dans la communauté DeFi, mais a également suscité de sérieuses inquiétudes quant à la sécurité des contrats intelligents et à la robustesse des protocoles basés sur des blockchains émergentes comme Sui.

Cetus Protocol s'était imposé comme le premier DEX du réseau Sui, offrant aux utilisateurs une plate-forme pour échanger des jetons et fournir des liquidités. En tant que composant d'infrastructure clé de l'écosystème Sui, Cetus a joué un rôle essentiel en facilitant le commerce décentralisé et en contribuant à la liquidité globale du réseau. Son importance en a fait une cible attrayante pour les acteurs malveillants qui cherchaient à exploiter les vulnérabilités de sa base de code.

Le Cetus Hack se dévoile

La violation s'est produite le 22 mai 2025, lorsque des attaquants ont identifié et exploité une faille critique dans la logique des contrats intelligents de Cetus. Plus précisément, la vulnérabilité provenait d'un subtil bogue de débordement arithmétique qui a permis au pirate informatique de manipuler les mécanismes de comptabilité internes du protocole. En déployant des jetons frauduleux et en manipulant les courbes de prix au sein des pools de liquidités, l'attaquant a pu drainer de grandes quantités de fonds sans déclencher de systèmes de détection immédiats.

Vers 3 h 52 PT (11 h 52 UTC), les moniteurs de blockchain ont commencé à détecter des transactions irrégulières dans plusieurs pools de liquidités sur Cetus. En quelques heures, l'étendue des dégâts est devenue claire : plus de 260 millions de dollars d'actifs avaient été détournés du protocole. Les fonds volés ont été rapidement échangés et transférés vers d'autres blockchains, ce qui a compliqué les efforts de récupération.

Impact sur le marché et l'écosystème Sui

Les conséquences du piratage ont été rapides et graves. La négociation sur Cetus a été immédiatement interrompue car les développeurs se sont efforcés d'évaluer la situation et d'atténuer les pertes supplémentaires. Pendant ce temps, la valeur des jetons natifs associés à la plate-forme a chuté, certains ayant connu des baisses allant jusqu'à 80 % en quelques heures. Les investisseurs et les utilisateurs ont subi des pertes massives et la confiance dans l'écosystème Sui a été ébranlée.

Une évolution particulièrement alarmante s'est produite lorsque le réseau Sui a tenté une contre-mesure controversée : voter pour geler le portefeuille de l'attaquant contenant 160 millions de dollars de fonds volés. Bien que cette décision ait démontré une approche proactive du recouvrement d'actifs, elle a également suscité des débats sur les principes de décentralisation et sur la question de savoir si de telles actions minaient la confiance dans l'immuabilité des transactions blockchain.

Dans un élan, $SUI a perdu 5 % et $CETUS +- 40 %, ce bond était à la fois incroyable et terrifiant.

Détails techniques de l'exploit du protocole Cetus

Selon une analyse fournie par la société de cybersécurité Halborn, la cause première de l'exploit réside dans la façon dont Cetus a validé certaines opérations arithmétiques lors d'échanges de jetons. Un oubli dans la gestion de grands nombres a entraîné une situation de débordement, que l'attaquant a habilement manipulée pour créer des déséquilibres artificiels dans les pools de liquidités. Ces déséquilibres ont ensuite été exploités pour extraire des actifs réels du système sans compensation adéquate pour les fournisseurs de liquidités.

Ce type de vulnérabilité est particulièrement insidieux car il ne se manifeste pas toujours dans des conditions de fonctionnement normales ; il nécessite plutôt des cas limites spécifiques impliquant des valeurs très importantes ou des séquences de transactions inhabituelles pour se déclencher. Ces bogues sont notoirement difficiles à détecter lors des audits et des phases de test standard, ce qui en fait des candidats de choix pour l'exploitation par des adversaires disposant de ressources suffisantes.

Efforts de réponse et de rétablissement de la part de la Fondation Cetus et Sui (alias Mysten Labs)

Au cours de l'attaque, environ 160 millions de dollars auraient été gelés et seraient remboursés aux piscines de Cetus. C'est pourquoi toutes les fondations Sui ont lancé un vote pour débloquer ces jetons.

À la suite de l'attaque, l'équipe de Cetus a publié des déclarations publiques reconnaissant la violation et décrivant les étapes à suivre pour y remédier. Ils ont travaillé en étroite collaboration avec des sociétés d'analyse de chaînes de blocs comme Elliptic et Chainalysis pour suivre le mouvement des fonds volés et identifier les voies potentielles de recouvrement. En outre, des discussions ont eu lieu concernant la mise en œuvre de mises à niveau d'urgence pour corriger les vulnérabilités existantes et améliorer la résilience future contre des attaques similaires.

Les membres de la communauté ont exprimé des réactions mitigées face à ces développements. Alors que beaucoup ont salué la transparence dont a fait preuve la direction de Cetus après le piratage, d'autres ont critiqué le manque de préparation à de tels scénarios et se sont demandé si des garanties suffisantes avaient été mises en œuvre avant le lancement.