Commencons par regrouper les acces essentiels : le Site Officiel de Binance, l'Application Officielle Binance, et la Page de Telechargement. Une attaque par flash loan exploite ce primitif DeFi qu'est le "pret eclair" — un emprunt de grosses sommes dans une seule transaction, qui doit obligatoirement etre rembourse dans cette meme transaction. Le scenario typique est le suivant : l'attaquant emprunte des dizaines voire des centaines de millions de dollars, manipule un oracle de prix ou exploite une faille de contrat pour en tirer profit, puis rembourse le capital. Fin 2025, les attaques par flash loan avaient cumule plus de 1,2 milliard de dollars de pertes pour les protocoles DeFi (source : SlowMist / Rekt News).
Le pret eclair est un "pret important sans garantie", propose par des protocoles comme Aave, dYdX ou Equalizer. La regle est extremement simple : emprunter et rembourser dans la meme transaction blockchain, sinon la transaction est annulee. Cette caracteristique permet a l'emprunteur de mobiliser des dizaines de millions de dollars sans aucune garantie, mais en fait aussi une "arme sans cout" pour les attaquants.
Le deroulement standard d'une attaque par flash loan :
Le pret eclair en lui-meme n'est pas une faille — la faille se trouve dans le protocole attaque. Le pret eclair ne fait qu'abaisser a presque zero le seuil de capital, autrefois de plusieurs centaines de millions de dollars sur les marches traditionnels, necessaire pour "manipuler un prix", permettant a tout attaquant maitrisant la logique des contrats de tenter sa chance.
La toute premiere attaque par flash loan. L'attaquant a emprunte 10 000 ETH sur dYdX, manipule le prix sUSD/ETH sur Uniswap, puis obtenu de bZx un pret sous-garanti, generant un profit d'environ 350 000 dollars. Un montant modeste, mais qui a ouvert l'ere des "attaques par flash loan".
L'attaquant a utilise le pool y de Curve pour manipuler le prix de l'USDC, deposant a bas prix puis retirant a prix eleve dans le pool fUSDC de Harvest pour realiser un profit. Harvest etait alors un protocole de "farming machine-gun" de premier plan ; l'attaque a fait chuter son TVL de 1 milliard a 300 millions de dollars en une semaine.
Cream a subi une attaque par flash loan le lendemain d'une attaque contre le protocole Yearn. L'attaquant a manipule le prix du yUSDVault, retirant des fonds excedentaires de Cream en une seule transaction. Le protocole Cream en est sorti tres affaibli, son TVL tombant a 5 % de son sommet.
L'attaquant a exploite une "faille de reentrance" de Rari combinee a une manipulation de prix par flash loan, retirant des fonds de plusieurs Fuse Pools. Cet evenement a directement conduit a la fusion puis a la dissolution de Rari et Fei Protocol.
L'une des attaques les plus creatives : l'attaquant a emprunte une grande quantite de stablecoins via un pret eclair, utilisant le token de gouvernance STALK pour faire adopter par vote sur le DAO Beanstalk une proposition malveillante transferant tous les fonds du protocole a l'attaquant. La gouvernance de Beanstalk presentait une faille — l'absence de mecanisme de delai temporel permettait une execution immediate des propositions.
L'attaquant Avraham Eisenberg a effectue des transactions avec lui-meme sur Mango Markets, faisant grimper le prix du token MNGO de 5 a 10 fois via un pret eclair, puis a utilise ce MNGO survalorise comme garantie pour emprunter les actifs reels du protocole. A la suite de cet evenement, Avraham a ete poursuivi par la SEC et la CFTC, et reconnu coupable de manipulation de marche en 2024.
Le protocole de pret Euler a ete attaque via l'exploitation d'une faille de "don sans garantie". L'attaquant a construit un scenario particulier declenchant sa propre liquidation anormale, retirant ainsi une grande quantite de fonds du protocole. Fait notable, l'attaquant a par la suite rembourse la majeure partie des fonds — un cas devenu emblematique du debat "revendication de chapeau blanc contre attaque de chapeau noir".
Un protocole de "farming machine-gun" sur la BSC. L'attaquant a utilise un pret eclair pour faire chuter le prix du token BUNNY, retirant ainsi une quantite anormalement elevee de recompenses BUNNY du pool. Le token BUNNY a chute de 96 % ce jour-la ; le protocole a continue de fonctionner mais en etant tres affaibli.
Le pool yDAI de Yearn v2 a ete manipule via un pret eclair sur le prix du 3pool de Curve, l'attaquant retirant des rendements anormaux du pool yDAI. Ce fut le premier incident de securite majeur de Yearn, qui a accelere ses audits et sa refonte ulterieurs.
Bien qu'il ne s'agisse pas d'une pure attaque par flash loan, l'attaquant a exploite une faille de verification de signature du pont Wormhole combinee a une tactique de pret eclair, pour emettre 120 000 wETH cote Solana sans veritable garantie deposee cote Ethereum. Jump Crypto a injecte des fonds pour combler le trou et sauver le fonctionnement de Wormhole.
Le tableau ci-dessous presente les pertes DeFi causees par les attaques par flash loan chaque annee (base sur les statistiques de la base de donnees SlowMist Rekt) :
| Annee | Nombre d'evenements | Pertes totales (milliards de $) | Remarque |
|---|---|---|---|
| 2020 | 8 | Environ 0,07 | bZx ouvre le bal |
| 2021 | 25 | Environ 0,45 | Cream / PancakeBunny |
| 2022 | 32 | Environ 0,40 | Beanstalk / Mango |
| 2023 | 28 | Environ 0,28 | Euler / plusieurs cas mineurs |
| 2024 | 22 | Environ 0,15 | Progres des defenses, baisse du nombre d'attaques |
| 2025 | 18 | Environ 0,08 | Tendance a la baisse persistante |
2022 a marque le pic des attaques par flash loan, avant que le nombre et le montant des attaques ne diminuent avec le renforcement des audits et la modernisation des oracles de prix (comme le TWAP de Chainlink).
Le tableau ci-dessous recapitule plusieurs schemas d'attaque par flash loan :
| Methode d'attaque | Principe | Cas typique |
|---|---|---|
| Manipulation d'oracle de prix | Emprunter une grosse somme pour faire chuter ou grimper le prix sur un seul DEX, affectant les protocoles utilisant ce DEX comme source de prix | Harvest, Cream |
| Attaque de vote de gouvernance | Emprunter une grande quantite de tokens de gouvernance et voter immediatement, en contournant le delai temporel | Beanstalk |
| Combinaison avec une faille de reentrance | Pret eclair + fonction de reentrance provoquant une mise a jour erronee de l'etat du protocole | Rari Capital |
| Auto-transaction pour faire grimper le prix | Faire grimper le prix d'un token sur un marche ou l'on est soi-meme teneur de marche, pour l'utiliser comme garantie | Mango Markets |
| Arbitrage inter-protocoles | Emprunter une grosse somme pour declencher un chemin d'arbitrage entre plusieurs protocoles | Diverses attaques mineures |
| Declenchement d'un etat anormal | Emprunter une grosse somme pour declencher une condition limite insuffisamment testee du protocole | Euler |
Les principales pratiques techniques pour se premunir contre les attaques par flash loan :
| Mesure de protection | Effet | Limite |
|---|---|---|
| Prix moyen pondere par le temps (TWAP) | Utiliser un prix moyen sur 30 minutes ou plus au lieu du prix instantane | Peut encore etre manipule dans la duree |
| Multiples sources d'oracles | Combiner plusieurs sources comme Chainlink, Pyth, etc. | Augmente la complexite du protocole |
| Coupe-circuit sur la volatilite des prix | Suspension en cas de variation depassant un seuil sur un seul bloc | Affecte le trading normal |
| Delai temporel de gouvernance | Retard d'execution des propositions de 24 a 48 heures | Retarde egalement les propositions urgentes |
| Augmentation du taux de garantie des prets | Garantie de 150 % a 200 % | Reduit l'efficacite du capital |
| Verrou de reentrance | Modificateur ReentrancyGuard | Bonne pratique standard en Solidity |
| Verification formelle | Preuve mathematique de la logique du contrat | Cout tres eleve |
| Audits continus | Audits croises par plusieurs societes | Ne garantit pas 100 % l'absence de faille |
Aucun protocole DeFi ne peut etre immunise a 100 % contre les attaques par flash loan. La meilleure pratique consiste a reduire au minimum la "probabilite d'etre attaque" et a disposer d'un fonds d'urgence ou d'un mecanisme d'assurance en cas d'attaque.
Comment un utilisateur classique peut se defendre contre les attaques par flash loan :
La qualification juridique des attaques par flash loan reste floue. Le pirate de Mango Markets, Avraham Eisenberg, est le premier attaquant par flash loan condamne — la SEC et la CFTC l'ont poursuivi fin 2022 pour manipulation de marche et fraude, et il a ete reconnu coupable par le tribunal federal du district sud de New York en 2024.
Mais de nombreux autres attaquants par flash loan n'ont jamais ete poursuivis. La zone grise juridique s'explique principalement par :
Q : le pret eclair est-il lui-meme une faille ? Non. Le pret eclair est une fonctionnalite legitime concue par des protocoles comme Aave ou dYdX, largement utilisee pour l'arbitrage, la liquidation ou la conversion de garanties dans des usages parfaitement legitimes. La faille se trouve dans le protocole attaque — le pret eclair ne fait qu'abaisser le seuil d'attaque.
Q : un utilisateur classique peut-il utiliser un pret eclair ? En theorie oui, mais il faut savoir programmer des smart contracts. Un utilisateur classique ne peut pas lancer de pret eclair via l'interface d'Aave, il doit deployer un contrat ou appeler la fonction flashLoan d'Aave. Des outils visuels comme Furucombo permettent meme a des utilisateurs ayant des notions techniques de base d'arbitrer via un pret eclair.
Q : les auteurs d'attaques par flash loan sont-ils des genies ? L'attaque necessite une solide connaissance des smart contracts, une logique mathematique rigoureuse et une capacite d'audit de code affutee, ce n'est pas simplement de la "chance". Mais de nombreux attaquants ne sont pas des genies anonymes — des cas d'israeliens, d'europeens de l'Est ou d'etudiants asiatiques en technologie ont deja ete identifies.
Q : les protocoles DeFi peuvent-ils se defendre completement contre les attaques par flash loan ? Pas a 100 %, mais la probabilite peut etre reduite au minimum. Les protocoles etablis de premier plan (Aave, Compound), forts de plusieurs annees d'experience en conditions reelles, ont une probabilite de reussite d'attaque nettement plus faible que les nouveaux protocoles.
Q : un protocole attaque peut-il se retablir ? Cela depend de l'ampleur des pertes et de la reponse de l'equipe. Certains protocoles (Euler, Wormhole) se sont retablis grace a un sauvetage financier, tandis que d'autres (Cream, Beanstalk) en sont sortis tres affaiblis. Quelques-uns ont completement ferme.
Q : les fonds des utilisateurs dans un protocole attaque peuvent-ils etre recuperes ? Cela depend du cas precis. Le protocole compense parfois les utilisateurs via sa tresorerie ou un financement externe, et lorsque l'attaquant rembourse les fonds (cas de chapeau blanc), les utilisateurs peuvent aussi recuperer leur argent. Dans la plupart des cas, les utilisateurs perdent une partie ou la totalite de leur capital.
Q : les attaques par flash loan vont-elles se multiplier ? La tendance est a la baisse. Avec le renforcement des audits, la modernisation des oracles et une meilleure connaissance generale des schemas d'attaque, les nouveaux protocoles integrent desormais la defense contre les attaques par flash loan des la phase de conception. Mais de nouvelles methodes d'attaque continuent d'evoluer.
Q : quels sont les protocoles les plus vulnerables aux attaques par flash loan ? En general : 1) les nouveaux protocoles avec un TVL faible et une liquidite peu profonde ; 2) les protocoles utilisant un seul DEX comme source de prix ; 3) les protocoles sans delai temporel de gouvernance ou avec un delai trop court ; 4) les protocoles a la complexite de contrat elevee et a l'audit insuffisant.
Q : comment suivre une attaque par flash loan ? Outils : Tenderly (simulation de contrats), Etherscan / Tronscan (suivi des transactions), SlowMist (surveillance de securite), Chainalysis (analyse on-chain). Les equipes SlowMist, PeckShield et CertiK sur Twitter (X) sont les sources les plus rapides pour reveler ces evenements.
Q : l'assurance DeFi peut-elle indemniser les pertes dues a une attaque par flash loan ? Partiellement. Des produits d'assurance DeFi comme Nexus Mutual ou InsurAce couvrent le risque de "faille de smart contract", et les evenements repondant aux conditions donnent lieu a une indemnisation. Mais les primes sont elevees (2 % a 10 % par an), la couverture n'est pas complete, et le processus d'indemnisation reste complexe.
Q : les donnees de cet article sont-elles fiables ? Elles sont issues de sources publiques comme Rekt News, SlowMist et CertiK, le montant des pertes d'un evenement precis pouvant etre revise en fonction d'un remboursement de l'attaquant ou d'une mesure de sauvetage du protocole. Les lecteurs peuvent consulter rekt.news pour obtenir la version la plus recente.
Q : cet article est-il un tutoriel ou une mise en garde ? Une mise en garde. Cet article n'enseigne pas comment mener une attaque par flash loan, il se contente de recenser des evenements historiques pour aider les utilisateurs a comprendre les risques DeFi. Toute attaque contre un protocole reel comporte des risques juridiques.
Sources des donnees : Rekt News, base de donnees de securite SlowMist, CertiK Skynet, rapports PeckShield, bilans post-mortem des protocoles concernes, documents de poursuite de la SEC/CFTC, arretees en avril 2026. Cet article ne constitue pas un conseil d'investissement.