Reentrancy : Comment les failles de contrat intelligent détruisent des millions en crypto

La reentrancy, une faille de sécurité dans les contrats intelligents qui permet à un attaquant de réappeler une fonction avant qu’elle ne termine son exécution. Cette vulnérabilité est l’une des plus destructrices de l’histoire de la blockchain. En 2016, une attaque de ce type a vidé 3,6 millions de dollars du DAO sur Ethereum, un événement qui a failli tuer la blockchain entière. Ce n’était pas un piratage classique : c’était un abus de logique, une faille dans le code qui permettait à un programme de se répéter sur lui-même comme un écho infini. Et ça, c’est encore possible aujourd’hui.

Le contrat intelligent, un programme auto-exécuté sur blockchain qui gère des transactions sans intermédiaire est censé être inviolable. Mais quand il ne vérifie pas l’état des fonds avant d’envoyer de l’argent, il devient une porte ouverte. Les attaquants utilisent des attaques reentrancy, des exploits qui forcent un contrat à rappeler sa propre fonction pour vider ses fonds en plusieurs étapes. Imaginez un distributeur qui vous donne de l’argent… puis vous laisse le réclamer encore et encore avant de compter ce qu’il a donné. C’est exactement ce qui se passe. Des projets comme reentrancy ont été ciblés par des hackers qui n’avaient pas besoin de voler des clés privées : ils ont juste exploité une mauvaise ligne de code.

Les grandes plateformes ont appris la leçon. Mais les petits projets, surtout ceux qui lancent des airdrops ou des tokens sur Solana ou BSC, ignorent encore les meilleures pratiques. Des projets comme Bridge AI, Glades ou Oracle ORCL dans notre base de données n’ont pas de code audité — et c’est un risque majeur. Même un airdrop gratuit peut cacher un contrat vulnérable. Si vous interagissez avec un contrat non vérifié, vous n’êtes pas juste en train de gagner des jetons : vous pourriez être le prochain vecteur d’une attaque reentrancy.

On ne parle pas ici de théorie. On parle de code réel, de pertes réelles, de wallets vidés en quelques secondes. Ce que vous allez trouver dans les articles ci-dessous, c’est une collection d’analyses concrètes : des cas d’attaques réelles, des explications simples de comment ça marche, et les erreurs que les développeurs font encore aujourd’hui. Vous y trouverez aussi des exemples de projets qui ont échappé à la catastrophe — et ceux qui ont disparu. Si vous utilisez la blockchain, même en tant que simple utilisateur, vous devez comprendre cette faille. Parce que si vous ne la voyez pas, elle vous verra.