La nouvelle menace de la DeFi : comment des pools de liquidité malveillants trompent les utilisateurs d’Ethereum et de Polygon via des citations erronées

La société d’infrastructure DeFi Enso a identifié une nouvelle classe de pools de liquidité malveillants appelés « toxic pools ». Contrairement aux exploits traditionnels qui volent directement des fonds, ces pools manipulent les simulations de transactions.

Points clés

• Le rapport d’Enso du 16 juillet a mis en évidence des « toxic pools » qui faussent les cotations, provoquant des pertes de dizaines de milliers de dollars sur un pool Curve.
• L’exploit menace les front-ends DeFi, avec un hook malveillant Uniswap v4 causant un taux d’échec de 99,1%.
• Enso a mis à jour son produit Enso Shield pour détecter des cotations factices dans 2 environnements blockchain différents.

Une tactique « Jekyll and Hyde »

Une nouvelle classe de pools de liquidité DeFi (finance décentralisée) malveillants, récemment mise au jour, cible l’infrastructure centrale sur laquelle les traders de crypto s’appuient pour trouver les meilleurs prix, selon une nouvelle recherche publiée le 16 juillet par la société d’infrastructure DeFi Enso.

L’entreprise qualifie ces montages trompeurs de « toxic pools ». Contrairement aux piratages cryptographiques typiques qui vident directement des fonds depuis des contrats intelligents, ces pools sont conçus pour tromper systématiquement les simulations de transactions. Ils renvoient des cotations de prix attrayantes et très compétitives lorsqu’un portefeuille crypto ou un agrégateur d’échanges décentralisés (DEX) exécute une simulation, mais ils modifient leur comportement dès que la transaction est réellement exécutée sur la blockchain.

Le résultat est un drainage subtil et systémique : les traders reçoivent des prix d’exécution nettement pires que ceux qui leur ont été annoncés, ou leurs transactions échouent, ce qui brûle des frais réseau au passage.

« Notre enquête nous amène à penser que ce n’est pas simplement un autre exploit de contrat intelligent isolé », a déclaré Milos Costantini, cofondateur et directeur produit chez Enso. « L’industrie a passé des années à optimiser la découverte des prix. Nos constats suggèrent que le prochain défi consiste à vérifier l’intégrité de l’exécution. »

D’après le rapport d’Enso, les toxic pools exploitent les simulations de « dry-run » hors chaîne que les portefeuilles utilisent pour prévisualiser les transactions. Les contrats malveillants détectent lorsqu’ils tournent dans un environnement de simulation en lecture seule et renvoient un prix artificiellement optimisé. Une fois que la transaction est effectivement diffusée on-chain, le pool modifie sa logique mathématique pour exécuter la transaction à un taux dégradé.

Pour rester cachés aux systèmes de sécurité, ces pools alternent entre des états honnêtes et malveillants, rendant inefficaces les scanners de code statiques et les filtres de réputation historiques. Cette conception leurre-et-échange dégrade l’expérience utilisateur et draine des fonds via des transactions échouées. Dans une étude de cas, un pool Curve manipulé a déclenché plus de 37 000 transactions annulées (reverted), forçant les utilisateurs à brûler près de 30 000 dollars de frais de gaz.

Les attaquants exploitent aussi des architectures d’échange modulaires de nouvelle génération. Sur Polygon, un « hook » malveillant — un plugin de contrat intelligent utilisé dans des plateformes comme Uniswap v4 — a attiré des systèmes de routage avec de fausses valeurs avant de provoquer un taux d’échec de 99,1% des transactions.

Résultats d’une analyse médico-légale on-chain

La recherche, qui a duré environ deux mois d’analyses médico-légales on-chain, a combiné des données d’archives historiques (archive-node), l’analyse des traces de transactions et l’inspection de contrats intelligents. Les ingénieurs d’Enso, avec le soutien de contacts au sein de grands protocoles DeFi Curve Finance et Oku, ont identifié des toxic pools actifs opérant sur les deux blockchains Ethereum et Polygon.

Dans un cas documenté sur Ethereum, un pool Curve manipulé a traité plus de 129 000 swaps. Bien que le pool semblait être l’itinéraire optimal, il a livré une exécution moins bonne que celle annoncée, entraînant environ 225 000 dollars de cotations surévaluées.

En outre, l’équipe d’Enso a identifié plusieurs contrats d’oracle blockchain déployés par le même opérateur pour prendre en charge des pools supplémentaires, ce qui indique que la tactique est probablement plus répandue que les deux cas documentés et pourrait représenter un modèle émergent pour l’extraction on-chain.

Ces constats posent un défi direct à la couche orientée utilisateur de l’écosystème DeFi. Les portefeuilles populaires, les interfaces destinées au grand public et les agrégateurs dépendent fortement de simulations automatisées pour garantir le « meilleur chemin » pour la transaction d’un utilisateur.

Le rapport d’Enso souligne que si l’infrastructure de routage ne peut pas distinguer une cotation légitime d’une cotation manipulée, les front-ends continueront à diriger les utilisateurs vers ces pièges. Cela crée des risques potentiels de responsabilité juridique et financière pour les fournisseurs de portefeuilles et les opérateurs d’interfaces qui promettent une « meilleure exécution » tout en fournissant régulièrement des itinéraires toxiques.

Face à cette menace, Enso a annoncé avoir mis à jour son produit de protection de l’exécution, Enso Shield, afin d’inclure une détection dédiée des toxic pools. L’outil de sécurité est conçu pour contourner les méthodes de simulation standard en analysant le contexte on-chain en direct, en surveillant l’historique des cotations et en utilisant les traces de transaction pour repérer des écarts d’exécution.

Plutôt que d’accuser des échanges décentralisés individuels, Enso a appelé l’ensemble de l’industrie des cryptomonnaies à mener des recherches supplémentaires sur la manipulation des simulations de transactions.

« Si les simulations de transactions peuvent être manipulées alors que la vraie exécution raconte une histoire différente », a déclaré Costantini, « nous avons besoin de meilleures méthodes pour vérifier ce que les utilisateurs reçoivent réellement. »