Le stablecoin USPD victime d’un piratage de plusieurs millions de dollars : l’attaque "CPIMP" restée cachée pendant des mois éclate enfin

【Beepush】Le projet de stablecoin USPD vient de subir un sérieux revers : il a été victime d’un piratage, avec des pertes dépassant directement le million de dollars.

L’équipe officielle a confirmé que le protocole avait été compromis. L’attaquant a agi de manière particulièrement sournoise, frappant avec une émission non autorisée de tokens puis vidant le pool de liquidité. Désormais, le projet alerte en urgence : tous les utilisateurs sont invités à révoquer immédiatement les autorisations de token du contrat USPD, sous peine de subir de nouveaux préjudices.

La méthode employée lors de cette attaque est particulièrement insidieuse et est appelée attaque “CPIMP”. Le hacker est intervenu dès la phase de déploiement du contrat : il a utilisé Multicall3 pour devancer l’initialisation du proxy, s’appropriant ainsi les droits d’administrateur, puis a déguisé le contrat en un smart contract audité et conforme. Cette opération est restée indétectée pendant plusieurs mois, jusqu’à la récente mise à jour du proxy qui a révélé la faille.

Les chiffres sont accablants : l’attaquant a frappé environ 98 millions de tokens USPD et a transféré environ 232 stETH. Le projet a rendu publiques les adresses des attaquants : principalement 0x7C97…9d83 (Infector) et 0x0833…215A (Drainer).

L’équipe collabore actuellement avec les autorités et des hackers white-hat pour suivre la trace des fonds. Ils ont proposé une offre à l’attaquant : s’il restitue les fonds de son plein gré, il pourra garder 10 % en guise de récompense. Mais vu la situation, cela semble n’être qu’une simple formalité.