La s\u00e9curit\u00e9 des protocoles DeFi a rarement \u00e9t\u00e9 autant scrut\u00e9e qu’au cours de ces derniers mois. Au centre de l’attention figure Trail of Bits, l’un des cabinets d’audit de smart contracts les plus respect\u00e9s du secteur, dont le nom revient presque \u00e0 chaque crise majeure. Active depuis 2012, la soci\u00e9t\u00e9 ne se contente pas d’auditer du code : elle d\u00e9veloppe une partie de l’outillage open source que la quasi-totalit\u00e9 de l’industrie utilise au quotidien. Pourtant, le hack de Balancer survenu en novembre 2025 a rappel\u00e9 une v\u00e9rit\u00e9 inconfortable : m\u00eame un audit sign\u00e9 par les meilleurs ne constitue jamais un bouclier permanent.<\/p>\n\n\n
Bas\u00e9e \u00e0 New York, Trail of Bits s’est impos\u00e9e comme une r\u00e9f\u00e9rence de la recherche en s\u00e9curit\u00e9 offensive et d\u00e9fensive. La firme revendique sur son site plus de 940 publications, plus de 620 audits et plus de 200 d\u00e9p\u00f4ts open source, r\u00e9partis sur quatre grands domaines : blockchain, cryptographie, s\u00e9curit\u00e9 applicative et, plus r\u00e9cemment, s\u00e9curit\u00e9 de l’intelligence artificielle. Dirig\u00e9e par son cofondateur Dan Guido, elle est r\u00e9guli\u00e8rement cit\u00e9e comme la maison de r\u00e9f\u00e9rence pour les travaux cryptographiques pointus et les syst\u00e8mes de preuves \u00e0 divulgation nulle de connaissance (zero-knowledge).<\/p>\n\n\n
Sa division blockchain<\/a> audite des protocoles parmi les plus expos\u00e9s du march\u00e9, et son outillage public sert de biblioth\u00e8que technique \u00e0 de nombreux d\u00e9veloppeurs. Cette double casquette, auditeur et fournisseur d’outils, lui donne une vision rare sur les failles qui se r\u00e9p\u00e8tent d’un protocole \u00e0 l’autre. C’est pr\u00e9cis\u00e9ment cette position qui rend son analyse du cas Balancer si instructive.<\/p>\n\n\n Le 3 novembre 2025, vers 07h40 UTC, un attaquant a commenc\u00e9 \u00e0 vider plusieurs pools stables de Balancer v2. En moins de trente minutes, l’op\u00e9ration a drain\u00e9 un montant estim\u00e9 entre 100 et 128 millions de dollars (environ 87 \u00e0 112 millions d’euros au cours de fin juin 2026), selon les sources. CoinDesk<\/a> a d’abord rapport\u00e9 environ 110 millions de dollars d\u00e9plac\u00e9s, tandis que les chercheurs de Check Point Research<\/a> ont chiffr\u00e9 le butin \u00e0 128,64 millions de dollars r\u00e9partis sur six r\u00e9seaux.<\/p>\n\n\n Les cons\u00e9quences ont \u00e9t\u00e9 imm\u00e9diates. La valeur totale verrouill\u00e9e (TVL) de Balancer s’est effondr\u00e9e, passant d’environ 775 \u00e0 258 millions de dollars (soit de 678 \u00e0 226 millions d’euros environ), et le token BAL a perdu pr\u00e8s de 30 % de sa valeur dans les jours qui ont suivi. Plusieurs semaines plus tard, la DAO Balancer<\/a> a lanc\u00e9 un plan de restitution d’environ 8 millions de dollars (pr\u00e8s de 7 millions d’euros) aux fournisseurs de liquidit\u00e9, tandis que pr\u00e8s de 19,7 millions de dollars d’osETH et d’osGNO (environ 17 millions d’euros) \u00e9taient mis \u00e0 l’abri par une intervention white hat de StakeWise.<\/p>\n\n\n La cause racine tient en une formule. Balancer v2 met \u00e0 l’\u00e9chelle les soldes de tokens via une fonction interne (upscale) avant de calculer les invariants de ses pools. Une erreur de direction d’arrondi, de l’ordre du wei (la plus petite unit\u00e9 d’Ether), s’y \u00e9tait gliss\u00e9e et y dormait depuis des ann\u00e9es. Prise isol\u00e9ment, une impr\u00e9cision de 1 wei para\u00eet d\u00e9risoire. Mais comme l’explique Trail of Bits, dans un pool \u00e0 faible liquidit\u00e9 configur\u00e9 avec certains param\u00e8tres, cette perte de pr\u00e9cision peut devenir suffisamment importante pour \u00eatre profitable.<\/p>\n\n\n L’attaquant a transform\u00e9 ce d\u00e9tail math\u00e9matique en arme. En encha\u00eenant des s\u00e9quences de batchSwap compos\u00e9es de dizaines de micro-\u00e9changes (plus de 65 op\u00e9rations ex\u00e9cut\u00e9es d\u00e8s le constructeur de son contrat), il a accumul\u00e9 ces erreurs d’arrondi jusqu’\u00e0 fausser l’invariant du pool et manipuler le prix du BPT (Balancer Pool Token). Le sch\u00e9ma n’est pas in\u00e9dit : des exploits comparables avaient d\u00e9j\u00e0 frapp\u00e9 Hundred Finance et Sonne Finance en 2023 et 2024, en exploitant exactement le m\u00eame type de faille. L’analyse technique d’OpenZeppelin<\/a> d\u00e9taille la m\u00e9canique de ce contournement.<\/p>\n\n\nBalancer, novembre 2025 : anatomie d’un drainage \u00e0 neuf chiffres<\/h2>\n\n\n
Comment 1 wei peut valoir 100 millions de dollars<\/h2>\n\n\n
Le hack Balancer en chiffres<\/h2>\n\n\n