7,6 millions de dollars siphonnés en une seule opération – USDC, USDT, ZEC et NEAR drainés simultanément – plus de 95 % de la valeur totale verrouillée de la DeFi sur NEAR Protocol concentrée dans un seul protocole – des retraits suspendus sans délai annoncé – et un vecteur d’attaque documenté depuis des années dans la littérature de sécurité blockchain. Le 16 avril 2026, Rhea Finance, hub DeFi dominant sur NEAR, a subi une manipulation d’oracle d’une précision chirurgicale qui expose non seulement les failles architecturales du protocole, mais interroge plus largement la maturité de l’infrastructure décentralisée sur NEAR. S’agit-il d’un incident isolé que le protocole absorbera avant de reconstituer sa liquidité, ou assistons-nous au symptôme structurel d’un écosystème qui a grandi trop vite sur des fondations de sécurité insuffisamment éprouvées ?
Un protocole au cœur de NEAR – et une faille aussi vieille que la DeFi elle-même
L’époque où la finance décentralisée pouvait se targuer d’avoir résolu le problème des oracles semble définitivement révolue. Depuis les premières manipulations de prix documentées sur Compound en 2019 jusqu’aux exploits massifs de Mango Markets en 2022 et d’Euler Finance en 2023, la vulnérabilité des flux de prix on-chain est l’un des risques les mieux documentés – et pourtant les plus systématiquement sous-estimés – de tout l’écosystème DeFi. Que cette menace frappe aujourd’hui Rhea Finance, le protocole le plus important de l’écosystème NEAR Protocol, n’est pas un hasard de calendrier : c’est la conséquence logique d’une concentration extrême des actifs combinée à une validation insuffisante des données de prix.
Rhea Finance est né début 2025 de la fusion de deux protocoles historiques sur NEAR : Ref Finance, le DEX de référence, et Burrow Finance, la couche de prêt décentralisé. Cette fusion avait été saluée comme une rationalisation bienvenue d’un écosystème fragmenté, permettant de consolider liquidités et flux d’utilisateurs sous une interface unifiée. Résultat : Rhea Finance a rapidement capturé plus de 95 % de la TVL totale de la DeFi sur NEAR, atteignant selon les données de DeFiLlama un pic estimé à 145 millions de dollars la veille de l’incident – soit environ 95 % des 152 millions de dollars de TVL totale de la chaîne.
Cette concentration, présentée comme un atout de liquidité profonde, s’est révélée être précisément le facteur d’amplification de l’attaque. Lorsqu’un seul protocole détient la quasi-totalité des actifs d’un écosystème, compromettre ce protocole revient à compromettre l’ensemble de la DeFi sur la chaîne. Comment l’attaquant a-t-il procédé, et quelle faille architecturale précise a-t-il exploitée pour extraire 7,6 millions de dollars sans déclencher les alarmes en temps réel ?
Anatomie du signal – ce que la manipulation des faux pools de liquidité révèle sur les vulnérabilités structurelles des oracles DeFi
Pour comprendre la portée réelle de ce signal, il faut soulever le capot de la mécanique. Un oracle de prix est, dans son principe, un mécanisme qui transmet à un smart contract des informations sur la valeur marchande d’un actif. Sans oracle, un protocole de prêt ou de swap ne peut pas savoir à combien vaut le collatéral qu’on lui dépose, ni calculer les seuils de liquidation. La fiabilité de cet oracle conditionne donc directement la solvabilité de l’ensemble du protocole. Le problème fondamental : si l’oracle peut être trompé sur la valeur d’un actif, toute la mécanique de prêt et de collatéralisation s’effondre.
Dans le cas de Rhea Finance, la firme de sécurité blockchain CertiK a reconstitué le vecteur d’attaque avec précision. L’attaquant a d’abord déployé de faux contrats de jetons – des tokens créés de toutes pièces, sans valeur intrinsèque ni historique de marché. Il a ensuite créé de nouveaux pools de liquidité sur le protocole en y injectant artificiellement de la liquidité, gonflant les réserves apparentes de ces pools pour leur donner une apparence de légitimité. Selon CertiK, « l’attaquant a créé de faux contrats de jetons et ajouté de la liquidité dans de nouveaux pools, induisant probablement en erreur l’oracle et la couche de validation ».
Le mécanisme de manipulation repose sur une faille classique mais redoutablement efficace : l’oracle de Rhea Finance calculait les prix en utilisant une logique de type TWAP (Time-Weighted Average Price), mais sans appliquer de vérification de l’ancienneté des pools. En l’absence de contrôle sur l’âge du pool – typiquement, les pools de moins d’une heure devraient être ignorés ou pondérés à zéro – l’oracle a accepté les données de prix fabriquées par l’attaquant comme données valides. Des tokens sans valeur réelle ont ainsi été présentés au système comme des actifs liquides, permettant à l’attaquant de les utiliser en collatéral pour emprunter des actifs réels : 2,1 millions de dollars en USDC, 1,8 million de dollars en USDT, 1,2 million de dollars en tokens NEAR, et l’équivalent de 2,5 millions de dollars en ZEC (Zcash).
Cette séquence – création de faux tokens, injection de liquidité artificielle, manipulation du flux de prix, emprunt d’actifs réels – est précisément le schéma observé lors de l’exploit de Mango Markets en octobre 2022, où l’attaquant Avraham Eisenberg avait manipulé le prix du token MNGO pour extraire 117 millions de dollars. La différence d’échelle ne doit pas masquer l’identité du vecteur. Comme nous l’analysions concernant les plus grands hacks crypto et les leçons structurelles qu’ils imposent, la manipulation de collatéral via des oracles non résistants aux actifs illiquides reste l’une des exploitations les plus persistantes de tout l’écosystème DeFi. La réponse de l’équipe a été immédiate – suspension des retraits, déploiement d’un correctif basé sur une médiane pondérée par le volume le 16 avril 2026 à 16h UTC – mais les dommages étaient déjà consommés.
Signal sectoriel – ce que l’exploit Rhea Finance révèle sur la concentration des risques dans les écosystèmes DeFi émergents
L’ironie est mordante : les oracles, conçus pour ancrer les protocoles DeFi dans la réalité des marchés et prévenir les manipulations de prix internes, sont devenus depuis 2021 le vecteur d’attaque dominant de la finance décentralisée. Selon les analyses de Messari, les attaques d’oracle et de manipulation de prix représentent 18 % des exploits DeFi en 2026, contribuant à 450 millions de dollars de pertes cumulées sur le seul premier trimestre. Ce chiffre résonne d’autant plus douloureusement que les solutions techniques existent : oracles décentralisés multi-sources, vérifications TWAP sur des fenêtres longues, seuils minimum d’ancienneté des pools, mécanismes de circuit breaker. La question n’est donc pas de savoir si ces protections sont connues – elles le sont depuis des années – mais pourquoi elles ne sont pas systématiquement déployées.
Pour l’écosystème NEAR Protocol spécifiquement, cet incident révèle une vulnérabilité que l’antécédent de Burrow Finance – précurseur direct de Rhea, victime d’une attaque similaire par flash loan en 2024, avant la fusion – aurait dû contraindre à traiter en priorité lors de la construction du nouveau protocole. Que la couche de validation ait pu être induite en erreur par des pools sans historique constitue non seulement une défaillance technique, mais un signal de gouvernance de la sécurité. Vadim Zacodil, ancien contributeur principal de NEAR, a confirmé les chiffres le 16 avril 2026 et lancé un appel à la vigilance, soulignant l’urgence de suivre la situation de près.
La concentration de 95 % de la TVL DeFi de NEAR dans un seul protocole pose par ailleurs une question de résilience systémique que peu d’observateurs soulevaient avant l’incident. Sur des chaînes comme Ethereum ou Solana, la dispersion des actifs entre des dizaines de protocoles concurrents limite mécaniquement l’impact d’un exploit unique. Sur NEAR, la fusion de Ref et Burrow avait créé un point de défaillance unique dont l’impact dépasse largement les 7,6 millions de dollars directement volés : la chute de 52 % de la TVL totale post-suspension, de 145 millions à environ 69 millions de dollars selon les données de DeFiLlama, illustre la fragilité d’un écosystème construit sur une liquidité aussi concentrée. Les pertes DeFi du premier trimestre 2026 atteignent déjà 169 millions de dollars, comme le documentent nos analyses sur les données globales de sécurité DeFi au T1 2026 – et l’exploit Rhea y contribue de manière significative.
Incident isolé ou effondrement systémique de NEAR DeFi : deux lectures qui s’affrontent
Scénario favorable : L’exploit de Rhea Finance est un incident circonscrit, résultant d’une faille technique précise et désormais identifiée, dans un protocole jeune qui n’avait pas encore eu le temps de mûrir ses mécanismes de sécurité post-fusion. Le correctif déployé le 16 avril à 16h UTC – adoption d’une médiane pondérée par le volume avec seuil d’ancienneté minimum sur les nouveaux pools – traite directement le vecteur exploité. L’audit complet prévu avec PeckShield d’ici le 20 avril 2026, combiné au vote de gouvernance NEAR sur un fonds de sécurité oracle de 2 millions de dollars, pourrait démontrer une capacité de réponse institutionnelle rapide. La fondation NEAR a par ailleurs alloué une prime de 500 000 NEAR pour toute récupération white-hat des fonds. Si une fraction significative des actifs est récupérée et que les retraits reprennent normalement pour les paires non-ZEC dans les jours suivants, la confiance des LPs pourrait se reconstituer plus rapidement que l’émotion initiale ne le laisse supposer.
Scénario défavorable : La trace on-chain révèle que 30 % des fonds volés ont déjà transité par un mixeur de type Tornado Cash, rendant leur récupération improbable et toute restitution partielle illusoire. La faille exploitée n’est pas une vulnérabilité inédite : elle reprend exactement le schéma des manipulations d’oracle documentées depuis 2022 sur des protocoles comparables, dont Burrow Finance lui-même avant la fusion. L’absence de contrôle sur l’âge des pools dans un protocole audité à 85/100 par CertiK avant l’exploit suggère une dangereuse confiance dans des métriques de sécurité agrégées qui ne capturent pas les risques de composition. Plus profondément, la concentration du DeFi de NEAR dans un seul protocole transforme chaque exploit futur en risque systémique pour l’ensemble de la chaîne – une structure de marché qui dissuade les investisseurs institutionnels et les LPs professionnels d’y allouer des capitaux significatifs.
Nous sommes sur le fil du rasoir : la variable déterminante sera la capacité de Rhea Finance à publier un post-mortem complet, transparent et techniquement rigoureux d’ici le 18 avril, date attendue du rapport final de CertiK, et à démontrer que le correctif déployé résiste à une tentative de manipulation similaire dans un environnement de test adversarial. Sans cette preuve de robustesse, la suspension des retraits ne sera pas perçue comme une mesure de protection temporaire, mais comme le symptôme d’une incapacité à reprendre le contrôle.
Les indicateurs clés à surveiller pour valider la thèse
- TVL de Rhea Finance : seuil critique de 100 millions de dollars à reconquérir dans les 30 jours post-incident, selon les données DeFiLlama. Un retour sous 60 millions de dollars signalerait une fuite des LPs irréversible à court terme. Un rebond au-delà de 90 millions sous 2 semaines indiquerait une confiance maintenue.
- Reprise des retraits : la réouverture complète des retraits – y compris pour les paires ZEC, actuellement suspendues – est le signal de solvabilité le plus direct. Tout délai supplémentaire au-delà du 20 avril 2026 sera interprété négativement par le marché.
- Rapport post-mortem CertiK : attendu le 18 avril 2026, ce document doit identifier précisément si d’autres vecteurs similaires subsistent dans l’architecture corrigée. Une absence de rapport ou un rapport incomplet constituerait un signal d’alerte majeur.
- Activité on-chain des wallets liés à l’attaquant : surveiller les mouvements de fonds depuis les adresses identifiées, particulièrement tout transfert vers des exchanges centralisés ou des bridges cross-chain, via les explorateurs NEAR Blocks. Tout mouvement de conversion en stablecoins liquides avant le 20 avril réduirait les chances de récupération.
- Vote de gouvernance NEAR sur le fonds oracle : le résultat du vote sur l’allocation de 2 millions de dollars pour la sécurité des oracles sera un indicateur de l’engagement institutionnel de l’écosystème. Un vote positif à plus de 60 % signalerait une réponse collective coordonnée ; un échec ou un report révélerait des divisions internes.
- Spreads bid-ask des actifs affectés : surveiller particulièrement le spread sur ZEC et NEAR sur les DEX restants de l’écosystème. Un spread supérieur à 2 % sur les paires majeures indiquerait une fragmentation persistante de la liquidité et une méfiance des market makers.
Perspectives – scénarios pour les investisseurs exposés à Rhea Finance et à l’écosystème NEAR
À la hausse : Les investisseurs qui maintiennent une exposition à Rhea Finance ou au token NEAR parient sur la vitesse et la qualité de la réponse institutionnelle. Si le post-mortem CertiK du 18 avril confirme que le correctif oracle est structurellement solide, si les retraits reprennent intégralement avant le 20 avril, et si le vote de gouvernance alloue les fonds de sécurité demandés, l’incident pourrait paradoxalement renforcer la crédibilité long terme du protocole – comme ce fut le cas pour Aave après ses crises de liquidité de 2020-2021. Dans ce scénario, le token NEAR pourrait absorber le choc sans dépasser les niveaux de correction habituels des exploits de taille comparable sur des protocoles leaders d’écosystème.
À la baisse : Les investisseurs qui réduisent leur exposition ou sortent temporairement de l’écosystème font valoir que la structure de concentration du DeFi de NEAR – un seul protocole, 95 % des actifs – n’a pas changé avec le correctif. Tant que cette concentration persiste, chaque nouvelle vulnérabilité, même mineure, représente un risque systémique disproportionné. Le fait que 30 % des fonds volés aient déjà transité par un mixeur réduit les perspectives de remboursement partiel, exposant les LPs à des pertes permanentes. Dans ce scénario, la prudence commande d’attendre la publication complète du rapport PeckShield prévu pour le 20 avril 2026 avant tout repositionnement, et de surveiller si des protocoles alternatifs émergent sur NEAR pour redistribuer la liquidité concentrée. Comme nous l’analysions à propos de l’exploit de Drift Protocol sur Solana, la reconstitution de confiance post-hack exige une transparence totale et rapide – tout délai dans la communication amplifie la défiance des marchés.
Dans ce contexte où la mécanique de l’attaque est claire mais la capacité de récupération reste incertaine, une vérité s’impose avec une clarté implacable : concentrer 95 % de la DeFi d’un écosystème dans un protocole unique, si performant soit-il, revient à construire une forteresse dont une seule porte mal verrouillée suffit à livrer l’ensemble du trésor. La patience reste souvent la seule arme qui ne s’enraye pas – mais cette fois, elle doit s’accompagner d’une exigence de preuves techniques, pas de simples déclarations de bonne volonté.
Sur le même sujet :
- Les plus grands hacks crypto : pertes, mécanismes et leçons structurelles pour les investisseurs DeFi
- DeFi : 169 millions de dollars de pertes au T1 2026 et les enjeux de sécurité post-quantique
- Drift Protocol piraté pour 285 millions de dollars : les leçons d’un exploit majeur sur Solana DeFi
Cet article ne constitue pas un conseil en investissement. Les crypto-actifs sont extrêmement volatils et investir comporte des risques inhérents de perte en capital. Menez vos propres recherches avant toute décision financière.
Partager
