Futureswap basé sur Arbitrum perd $400K dans une tentative de piratage suspectée

Source : CryptoNewsNet Titre original : Arbitrum-based Futureswap perd $400K dans une attaque suspectée Lien original : https://cryptonews.net/news/security/32257466/

Plateforme de trading à effet de levier décentralisée Futureswap perd $395K dans une exploitation suspectée

La plateforme de trading à effet de levier décentralisée sur Arbitrum, Futureswap, aurait perdu environ 395 000 $ dans une exploitation suspectée, selon la société de sécurité blockchain BlockSec, prolongeant une série indésirable de victimes DeFi basées sur Arbitrum au début de 2026.

L’incident est la dernière violation affectant un protocole DeFi sur le réseau Arbitrum en 2026, seulement dix jours après le début de l’année.

La nouvelle a été révélée pour la première fois lorsque Phalcon, la plateforme de détection de menaces de BlockSec, a indiqué avoir détecté des transactions suspectes ciblant le contrat de Futureswap.

La société de sécurité a déclaré avoir tenté de contacter l’équipe, mais n’avoir reçu aucune réponse au moment de la publication. Pour contexte, le compte X du projet a été inactif depuis 2022.

Selon Phalcon, « L’attaquant semble avoir drainé des fonds via plusieurs opérations changePosition, finissant par retirer une grande quantité de USDC. »

Elle a également ajouté : « Étant donné que le contrat n’est pas open-source, la cause exacte nécessite encore une investigation approfondie. »

Comment Futureswap a-t-il été piraté ?

BlockSec a analysé le comportement on-chain et a indiqué suspecter « que l’incident pourrait être lié à des changements inattendus dans la comptabilisation du solde stableBalance lors des mises à jour de position antérieures, ce qui a permis par la suite de libérer du USDC lors de la suppression de la garantie. »

Quelques jours plus tôt, le 5 janvier, des rapports indiquaient que deux projets Arbitrum avaient perdu 1,5 million de dollars lors d’attaques par accès à des contrats intelligents. USD Gambit et TLP, tous deux lancés par le même déployeur, ont subi des retraits non autorisés après qu’un attaquant ait obtenu un accès administrateur et remplacé les contrats intelligents par des versions malveillantes.

Selon la société de sécurité blockchain Cyvers Alert, une analyse préliminaire montre que le seul déployeur aurait perdu l’accès à son compte. « L’attaquant a ensuite déployé un nouveau contrat et mis à jour les privilèges de ProxyAdmin pour prendre le contrôle », a indiqué Cyvers Alert.

Les fonds volés ont ensuite été transférés vers le réseau Ethereum et déposés dans Tornado Cash.

Les hackers ciblent-ils Arbitrum ?

Le nom d’Arbitrum a beaucoup été évoqué dans les hacks DeFi de 2026 rapportés jusqu’à présent. Début janvier, TMX Tribe a subi une exploitation de 1,4 million de dollars, tandis que le coffre-fort IPOR Fusion USDC a perdu 336 000 dollars à cause d’une vulnérabilité dans un contrat legacy, bien que la DAO ait promis un remboursement complet aux utilisateurs.

Les chercheurs en sécurité ont noté que ces attaques récentes suivent un schéma similaire, souvent associé à des acteurs étatiques, qui utilisent principalement Tornado Cash pour blanchir des fonds. Les attaquants ont appris à agir rapidement pour échanger et mélanger les fonds volés presque immédiatement afin d’éviter la mise sur liste noire des adresses.

Ces violations ciblent généralement des écosystèmes à haute liquidité, car cela maximise leurs chances de réaliser des gains importants. Selon Defillama, Arbitrum détient plus de $3 milliards de dollars dans des protocoles DeFi sur la plateforme, et il n’a jamais été loin de la première place parmi les Ethereum L2 en termes de TVL depuis son lancement en 2021.

Un autre thème récurrent parmi les hacks récents est qu’ils ciblent généralement des contrats intelligents plus anciens contenant encore de la liquidité.

En juillet 2025, la Fondation Arbitrum a lancé une caisse de guerre de $14 millions de dollars via le programme d’audit Arbitrum pour soutenir les projets natifs en subventionnant leurs audits de contrats intelligents.

Le butin de l’exploitation est rapidement rerouté via des mixers

Le dernier trimestre de 2025 a connu une augmentation des dépôts sur Tornado Cash, le mixer détient désormais une valeur record verrouillée provenant à la fois de nouveaux hacks et d’anciens exploits. La plateforme contient plus de 338 000 ETH, ce qui dépasse son pic de 2021. Des mixers comme Railgun ont également connu une hausse d’activité à la fin de 2025.

Les attaques ont principalement ciblé des projets relativement obscurs, selon ce que les analystes ont observé. USD Gambit, par exemple, évoque une seule plateforme d’échange qui sera progressivement abandonnée dans les semaines à venir. Malgré son lancement en 2023, le projet n’a pas bénéficié de la reprise du trading DeFi et des contrats à terme perpétuels, ce qui en fait une cible plus facile avec moins de surveillance de sécurité.