Le 24 mai, dans la soirée, jusqu'au début du 25 mai, le fournisseur européen de stablecoins StablR a été victime d'une attaque à signatures multiples. Les attaquants ont compromis plus d'un tiers des clés privées à signatures multiples du contrat de frappe : en environ 3 heures, ils ont frappé 8,35 millions d'unités USDR et 4,5 millions d'unités EURR, puis les ont vendues sur un exchange décentralisé, provoquant une chute d'environ 0,85 dollar pour EURR et d'environ 0,64 dollar pour USDR.
Le mécanisme technique de l'attaque : comment le seuil 1/3 des signatures multiples a été contourné
Blockaid confirme que la cause technique fondamentale de cette attaque réside dans la fuite de la clé privée d'un signataire au sein du mécanisme à signatures multiples de frappe de StablR. La fonction de frappe de StablR utilise un mécanisme de signatures multiples 1/3 (seuil de signature d'un tiers), c'est-à-dire qu'il suffit qu'un seul des trois signataires autorisés approuve pour exécuter la frappe. L'attaquant a contourné le système via la clé privée divulguée : en s'ajoutant lui-même comme administrateur ; en remplaçant le propriétaire légitime existant ; et en réalisant, en 3 heures, une frappe non autorisée de 8,35 millions d'unités USDR et 4,5 millions d'unités EURR.
L'attaquant a également utilisé son contrôle administratif acquis pour mettre au moins un token détenu par un contrepartiste légitime sur liste noire et le détruire. Les enregistrements on-chain confirment qu'au moins une fois, environ 2,7 millions d'unités d'EURR ont été détruites (environ 2,4 millions de dollars), provenant d'un portefeuille qui a effectué pendant des mois des opérations de rachat régulières avec StablR. Le portefeuille de l'attaquant a rechargé initialement ses fonds via le protocole de transfert inter-chaînes Circle sur Noble (CCTP).
Pertes réelles et données confirmées sur l'impact sur le marché
L'analyse de Blockaid confirme qu'environ 104 millions de dollars de valeur faciale de tokens ont été échangés contre ETH via un exchange décentralisé. Toutefois, en raison d'un important slippage lié à un manque de liquidité, le gain net réel de l'attaque est estimé à environ 2,8 millions de dollars. Depuis dimanche, le portefeuille d'un attaquant identifié par Etherscan comme « StablR Exploiter 2 » détient 1 488 ETH (environ 3,15 millions de dollars). ZachXBT a aidé à geler des fonds volés à six chiffres.
Côté prix, selon les données de CoinGecko : le prix d'EURR est tombé à environ 0,85 dollar (le point d'ancrage euro contre dollar est d'environ 1,15 dollar, soit une baisse d'environ 26 %). USDR est tombé à environ 0,64 dollar (baisse d'environ 36 %). Sur Ethereum, l'offre totale de stablecoins adossés à l'euro représente actuellement environ 0,24 % de l'offre totale de stablecoins adossés à des monnaies fiduciaires sur la blockchain Ethereum.
Questions fréquentes
Comment évaluer la sécurité du seuil de signatures multiples 1/3 dans l'industrie, et pourquoi cela a-t-il été jugé comme un défaut de conception ?
Le principe de conception sécuritaire des multisignatures (Multisig) est d'augmenter le nombre de clés que l'attaquant doit compromettre. Plus le seuil est bas, plus il est facile à contourner. Un seuil 1/3 (un tiers) signifie que l'attaquant n'a besoin de contrôler qu'un seul des trois signataires autorisés pour exécuter intégralement des opérations à haute autorité, comme la frappe. Comparaison avec l'industrie : en 2022, le pont Harmony Horizon, avant le vol de 100 millions de dollars, utilisait un seuil 2/5. À l'époque, des analystes sécurité avaient déjà souligné que c'était une conception insuffisamment sécurisée ; des schémas de multisig grand public comme Gnosis Safe recommandent généralement un seuil de 3/5 ou plus pour les opérations à haute autorité au niveau des protocoles. Blockaid a clairement indiqué que le seuil 1/3 relève d'un problème de gouvernance et de gestion des clés de StablR, et non d'une vulnérabilité du code du contrat intelligent lui-même.
Quel est l'impact du contexte de conformité MiCA de StablR et des investissements de Tether/Kraken sur cet événement d'attaque ?
La MiCA (réglementation sur les marchés des actifs crypto) encadre principalement les exigences de réserves pour les stablecoins, les qualifications d'émission et les divulgations de risques, sans imposer directement des exigences techniques spécifiques concernant l'architecture de sécurité des contrats intelligents. StablR détient une licence d'e-monnaie de la MFSA et des accréditations de conformité MiCA, mais ces reconnaissances réglementaires ne couvrent pas les choix de conception de sécurité au niveau du déploiement des contrats. Tether et Kraken, en tant qu'investisseurs stratégiques, n'ont pas non plus subi de pertes financières directes lors de cet événement, mais l'incident a affecté la réputation d'investissement des deux acteurs dans le marché européen des stablecoins conformes.
Comment cette attaque illustre-t-elle le changement global du modèle des menaces de sécurité crypto en 2026 ?
L'analyse de Blockaid et plusieurs grands cas d'attaques en 2026 pointent vers la même tendance : les événements aux pertes les plus graves ne proviennent plus de vulnérabilités de code de contrats intelligents nouvellement apparues, mais d'erreurs de conception dans l'accès privilégié, l'architecture de gouvernance et la gestion des clés. L'incident du 1er avril du protocole Drift (pertes de plus de 280 millions de dollars) suit aussi le même schéma de transfert de fonds via Circle CCTP, et implique un mode d'attaque par accès privilégié ; les données de DeFiLlama confirment que le mois d'avril 2026 est celui où l'on a enregistré le plus grand nombre d'attaques de hackers sur une seule période mensuelle dans l'histoire de la crypto. Le schéma de signatures multiples 1/3 de StablR et celui de 2/5 de Harmony montrent tous deux que, lors de la montée en échelle, les protocoles privilégient souvent la facilité d'exploitation plutôt que la redondance sécuritaire des clés.
