More Markets Subit Un Exploit De 9,3 Millions Sur Flow

Quinze virgule cinq millions de WFLOW. En quelques transactions, une réserve de prêt censée rester verrouillée s’est vidée comme une citerne percée. Le 31 août 2026, le protocole More Markets, déployé sur Flow EVM et développé par More Labs, a été la cible d’un exploit dont l’impact détecté tourne autour de 9,3 millions de dollars. Ce n’est pas un simple chiffre de plus dans la litanie des hacks DeFi. C’est un rappel brutal : même un marché calqué sur une architecture éprouvée comme Aave V3 peut devenir un théâtre d’opération dès que deux pièces du puzzle, un jeton de staking liquide et un mode d’efficacité, s’emboîtent autrement que prévu.

Ce Que L’On Sait Déjà Sur La Vidange De More Markets

La firme de sécurité Blockaid a rendu public un premier diagnostic le matin même. Selon elle, un attaquant a utilisé un jeton de staking liquide lié à Ankr, combiné au mécanisme d’E Mode du protocole, pour drainer la réserve de prêt mFlowWFLOW. Les 15,5 millions de WFLOW extraits correspondent, au moment de la détection, à une estimation d’environ 9,3 millions de dollars. Cette estimation n’est pas encore un bilan définitif. Elle mesure l’impact observé, pas forcément la perte nette après éventuelles recoveries, liquidations ou mouvements encore en cours.

Blockaid a aussi publié un faisceau de traces : une transaction d’exploit, une transaction de déploiement de contrat, puis un cluster de transferts post-attaque. Ces derniers servent à déplacer les fonds une fois la réserve vidée. À l’heure de cette première communication, la destination finale des actifs n’était pas figée. Les enquêteurs suivaient encore les adresses, les ponts éventuels et les conversions. Autrement dit, le film n’est pas terminé. On en connaît la scène d’ouverture, pas encore le générique de fin.

Blockaid a détecté un exploit sur More Markets (More Labs) sur Flow EVM. L’attaquant a utilisé un LST Ankr bonded et l’E-mode pour vider la réserve de prêt WFLOW. 15,5 millions de WFLOW extraits de mFlowWFLOW, soit environ 9,3 millions de dollars d’impact détecté. Le cluster de transactions inclut l’exfiltration après l’attaque.

Ce message, publié le 31 août 2026, pose le décor sans livrer encore le mode d’emploi technique complet. C’est volontaire. Les équipes de sécurité préfèrent souvent retenir certains détails tant que les fonds circulent. Publier trop tôt le ressort exact d’une faille, c’est parfois offrir un mode d’emploi à des imitateurs. Ici, on sait quoi et combien, on ignore encore précisément comment chaque étape s’enchaîne dans le code.

Un Protocole De Prêt Non Custodial Calqué Sur Aave V3

More Markets se présente comme un protocole de prêt décentralisé et non custodial. Les utilisateurs déposent des actifs pour générer des intérêts, empruntent contre une collatérale, et peuvent liquider les positions qui tombent sous les seuils requis. Le dépôt public du projet mentionne neuf marchés supportés. L’architecture s’inspire d’Aave V3, ce qui n’est pas anodin : ce modèle est largement documenté, audité, forké, et pourtant il n’immunise personne contre une mauvaise hypothèse de prix, une intégration hasardeuse ou un paramètre trop généreux.

Deux actifs occupent le centre de l’affaire. Le WFLOW joue le rôle d’actif natif wrappé dans le marché de prêt. L’ankrFLOW est décrit comme un jeton de staking liquide. Les paramètres publics de More Markets donnent au WFLOW un ratio prêt/valeur de 81,5 % et un seuil de liquidation de 83 %. Pour l’ankrFLOW, ces chiffres passent à 78,5 % et 81 %. Ce sont des réglages agressifs, pensés pour un univers où l’on considère que les deux actifs restent fortement corrélés au FLOW sous-jacent.

Cette corrélation est le cœur invisible de beaucoup d’accidents DeFi. Tant que WFLOW et ankrFLOW « se comportent » comme deux expressions du même risque, le système tient. Le jour où un mécanisme permet de traiter l’un comme s’il valait plus, ou d’emprunter l’autre plus vite que le marché ne peut réagir, la réserve devient une cible. L’E Mode, conçu pour augmenter l’efficacité du capital entre actifs très proches, amplifie précisément ce pari de similarité.

Le Rôle Trouble Du Jeton Ankr Et De L’E Mode

Ankr décrit ankrFLOW comme un reward bearing liquid staking token. En langage clair : lorsqu’un utilisateur stake du FLOW via son service, il reçoit un jeton dont la valeur relative au FLOW augmente à mesure que les récompenses de staking s’accumulent. Le nombre de jetons détenus, lui, ne change pas. C’est le ratio interne qui dérive. Ce design est classique dans le monde des LST. Il est aussi délicat à intégrer dans un marché de prêt, parce que le protocole doit savoir, à chaque instant, combien vaut réellement un ankrFLOW par rapport au WFLOW empruntable.

La documentation d’Ankr recense, sur Flow EVM, des contrats distincts pour le jeton ankrFLOW, le pool de staking, la configuration et le ratio feed. Ce dernier contient le certificat de ratio. C’est souvent là, dans la lecture d’un oracle interne ou d’un flux de ratio, que les attaques DeFi trouvent leur levier. Un prix légèrement trop généreux, une mise à jour trop lente, une hypothèse de parité trop optimiste, et l’on peut déposer un actif pour en emprunter un autre en quantité excessive.

Blockaid a explicitement lié l’attaque à un LST Ankr bonded et à l’E Mode de More Markets. Elle n’a pas dit qu’Ankr lui-même avait été compromis. Elle n’a pas non plus accusé la chaîne Flow d’avoir cédé. Le premier récit cible le protocole More Markets. Le reste — implémentation du marché, traitement de l’actif Ankr, hypothèses de pricing, interaction entre les deux — reste ouvert. Cette prudence n’est pas cosmétique. Dans ce type d’incident, la faute se niche parfois dans trois lignes de code et parfois dans un paramètre de risque que personne n’a révisé après un changement de ratio.

Ankr indique que ses contrats de liquid staking Flow, côté Cadence comme côté EVM, ont été audités par Halborn. Un audit n’est pas une assurance vie. Il photographie un état du code à un instant T, sous un périmètre donné. Il ne garantit pas la façon dont un protocole tiers, ici More Markets, interprétera le jeton, le ratio ou les garanties de corrélation. La frontière entre « actif sûr » et « actif dangereux » se dessine souvent dans l’intégration, pas dans le contrat d’origine.

Pourquoi Flow EVM N’Est Pas, Pour L’Instant, Le Coupable

Flow EVM est un environnement compatible Ethereum posé sur le réseau Flow. Il permet d’y faire tourner des applications pensées pour la machine virtuelle d’Ethereum. More Markets y déploie ses contrats de prêt. Distinguer une faille applicative d’une faille réseau n’est pas un détail sémantique. C’est la question que se posent immédiatement les utilisateurs, les validateurs, les ponts et les places d’échange : faut-il geler, forker, rollbacker, ou simplement isoler un protocole ?

D’après les éléments publics du 31 août, l’incident vise une application qui tourne sur Flow EVM. Rien, dans cette première divulgation, n’indique que la blockchain elle-même ait été compromise. Cette distinction compte d’autant plus que Flow porte encore la mémoire d’un autre choc, fin 2025. À l’époque, ce n’était pas un marché de prêt. C’était la couche d’exécution Cadence.

Le 27 décembre, une faille dans le runtime Cadence 1.8.8 avait permis de déguiser un actif protégé, théoriquement non copiable, en structure de données standard, puis de le dupliquer. L’attaquant avait déployé plus de quarante contrats malveillants dans une séquence coordonnée. Plus d’un milliard de FLOW contrefaits avaient été poussés vers des plateformes centralisées. Environ 3,9 millions de dollars de valeur avaient été extraits. OKX, Gate.io et MEXC avaient ensuite renvoyé 484,4 millions de FLOW, détruits ensuite. Le réseau affirmait avoir isolé 98,7 % du reste de l’offre factice.

La suite de 2025 reste instructive pour lire 2026. Les validateurs avaient stoppé la chaîne en quelques heures. Une proposition de rollback global avait soulevé une tempête : les opérateurs de ponts redoutaient des soldes dupliqués et des pertes pour ceux qui avaient déjà bridgé. Flow avait abandonné le rollback universel au profit d’une récupération isolée, visant à détruire le factice tout en conservant l’historique légitime. Des comptes suspects avaient été restreints le temps d’une forensic externe. Plus de 99,9 % des comptes devaient retrouver un accès complet. Plus tard, en mars, la fondation et Dapper Labs avaient même cherché une décision de justice en Corée du Sud pour empêcher Upbit, Bithumb et Coinone de retirer le FLOW de la cotation.

Ce passé pèse sur la lecture de l’exploit More Markets. Un second incident, même s’il est applicatif, réveille la même question de confiance. Les utilisateurs ne font pas toujours la différence entre Cadence, EVM, un LST et un marché de prêt. Ils voient un écosystème, un ticker, une perte. D’où l’insistance des premières analyses à séparer Flow EVM de la cible réelle : More Markets.

Comment Un Marché De Prêt Devient Une Cible De Choix

Un protocole de prêt concentre deux choses que les attaquants aiment : de la liquidité visible et des règles déterministes. La liquidité, ici, siégeait dans la réserve mFlowWFLOW. Les règles, elles, relient collatérale, LTV, seuil de liquidation et, dans le cas d’Aave V3, des catégories d’efficacité. L’E Mode autorise des ratios plus élevés entre actifs jugés proches. C’est précieux pour un utilisateur honnête qui veut emprunter du WFLOW contre un dérivé de FLOW. C’est dangereux si le « proche » n’est plus vrai pendant quelques blocs.

Les attaques de ce genre suivent souvent une chorégraphie. On déploie un contrat. On prépare une position. On force une lecture de prix ou de ratio. On emprunte au maximum. On sort. On disperse. Blockaid a justement isolé un cluster d’exfiltration post-exploit. Ce n’est pas de la science-fiction : c’est la phase où l’attaquant cherche à rendre l’argent illisible, via des swaps, des ponts, des mixers ou de simples sauts d’adresses. Tant que cette phase n’est pas close, le chiffre de 9,3 millions reste une photographie, pas un jugement.

Il faut aussi parler de ce que l’on ne sait pas. On ignore si la faille naît d’une erreur d’implémentation propre à More Markets, d’une lecture trop naïve du ratio ankrFLOW, d’un paramètre d’E Mode trop permissif, ou d’une combinaison des trois. On ignore si d’autres marchés du protocole étaient exposés. On ignore si des liquidateurs ont pu rattraper une partie des fonds. On ignore si l’attaquant a laissé des traces réutilisables par d’autres. Ces absences ne sont pas un échec journalistique. Elles sont le régime normal des premières heures.

L’Écosystème Flow Avait Mis En Avant Ces Deux Acteurs

Flow a longtemps promu à la fois More Markets et Ankr dans son paysage DeFi. Un programme de récompenses communautaires incitait même à prêter sur des protocoles comme More Markets et à staker du FLOW via le produit liquide d’Ankr. C’est une stratégie classique de bootstrap : on récompense l’usage pour faire naître de la liquidité. Le revers est connu. Plus on pousse deux briques l’une vers l’autre, plus on crée un chemin de dépendance. Le LST alimente le marché de prêt. Le marché de prêt valorise le LST. Les deux se tiennent.

Quand l’attaque survient, cette proximité devient un récit politique autant que technique. Les défenseurs diront que Flow n’est qu’un rail, que More Markets est un tiers, qu’Ankr n’a pas été piraté. Les sceptiques répondront que l’écosystème a encouragé précisément ce couplage. Les deux lectures peuvent coexister. Une chaîne n’est pas coupable de chaque bug applicatif. Un écosystème n’est pas innocent de la façon dont il agrège le risque.

Il existe aussi une dimension psychologique propre à Flow. Après la crise Cadence de décembre 2025, la restauration de Cadence et de Flow EVM s’était faite sous pression, avec des restrictions temporaires et une forensic externe. Un incident applicatif en 2026, même s’il n’est pas un clone du précédent, arrive dans une mémoire encore vive. Les marchés n’aiment pas les rimes. Deux histoires de tokens qui « ne devraient pas » pouvoir être extraits ou dupliqués, à quelques mois d’intervalle, suffisent à faire reculer certains déposants.

Ce Que Révèle La Mécanique Des LST Dans Les Marchés De Prêt

Les jetons de staking liquide ont un argument commercial imparable. Ils permettent de rester exposé au rendement du staking tout en utilisant l’actif dans la DeFi. On stake, on reçoit un reçu vivant, on le dépose, on emprunte. Sur le papier, le capital ne dort plus. Dans la pratique, on empile trois couches de risque : le risque de slashing ou de dépeg du staking, le risque d’oracle ou de ratio, le risque de protocole de prêt. L’ankrFLOW incarne cette pile. Sa valeur monte avec les récompenses. Son nombre d’unités reste fixe. Le marché de prêt doit traduire cette subtilité en chiffres froids : LTV, seuil, facteur de liquidation.

Lorsque deux actifs d’une même famille entrent en E Mode, le protocole parie qu’ils ne se découpleront pas assez vite pour rendre une position insolvable de façon systémique. Ce pari tient dans les phases calmes. Il se brise dès qu’un attaquant peut fabriquer une divergence artificielle, même brève. Une lecture de ratio trop haute, et le collatéral « pèse » plus qu’il ne devrait. Une réserve WFLOW trop pleine, et l’emprunt maximal devient un siphon. Le reste n’est que vitesse d’exécution.

On a vu, ailleurs dans l’industrie, des variantes de ce schéma. Des LST mal oraculisés. Des modes d’efficacité trop larges. Des forks d’Aave qui recopient l’architecture sans recopier la discipline de paramètres. More Markets n’est pas le premier à croiser ces fils. Il est simplement le plus récent à en payer le prix, et sur une chaîne qui tentait de reconstruire une image de robustesse après 2025.

Les Premières Heures D’Une Enquête On-Chain

Une enquête de ce type ressemble à un travail de commissaire plus qu’à un communiqué marketing. On part d’une transaction d’exploit. On remonte au contrat déployé. On suit chaque sortie. On note les pools utilisés, les routers, les éventuels ponts. On compare les timestamps. On cherche si l’attaquant a testé le schéma sur un montant minuscule avant de frapper fort. Beaucoup le font. Certains n’en ont pas besoin, parce qu’ils ont déjà répété sur un fork local.

Blockaid a choisi de publier tôt le volume et le cluster. C’est une stratégie de containment autant que d’information. Plus vite les adresses sont connues, plus vite les places d’échange peuvent geler des dépôts, plus vite d’autres protocoles peuvent hausser des gardes. L’inconvénient, c’est le brouillard : le public veut un récit linéaire, l’enquête livre des fragments. Entre les deux, les rumeurs prospèrent. Tel compte aurait reçu X. Tel bridge aurait vu passer Y. Tant que rien n’est consolidé, mieux vaut coller aux ordres de grandeur officiels : 15,5 millions de WFLOW, 9,3 millions de dollars d’impact détecté.

Le mot « détecté » mérite qu’on s’y arrête. Il signifie que l’outil de surveillance a vu une sortie anormale et l’a valorisée. Il ne signifie pas que chaque dollar a quitté définitivement l’écosystème, ni que les victimes sont uniquement les déposants de WFLOW. Selon la structure des pertes, une partie du choc peut retomber sur les fournisseurs de liquidité, une autre sur le trésor du protocole s’il en existe un, une autre encore sur des emprunteurs liquidés dans la turbulence. Le partage exact viendra plus tard, s’il vient.

Ce Que Les Utilisateurs Peuvent Faire Sans Jouer Aux Experts

La tentation, après un hack, est de tout retirer de partout, ou au contraire de ne rien faire en attendant un miracle. Ni l’un ni l’autre n’est une stratégie. La première chose est de distinguer les surfaces. Un dépôt sur More Markets n’est pas un solde FLOW en portefeuille personnel. Un ankrFLOW n’est pas un WFLOW. Un contrat sur Flow EVM n’est pas la couche Cadence. Cette grammaire évite les décisions de panique.

Ensuite vient le temps des questions simples. Le protocole a-t-il mis les marchés en pause ? Les retraits sont-ils ouverts ? Une adresse officielle a-t-elle confirmé les chiffres ? Y a-t-il un plan de compensation, même partiel ? Les réponses, au matin du 31 août, n’étaient pas toutes disponibles. C’est précisément pour cela qu’il faut se méfier des captures d’écran anonymes et des « white hats » improvisés qui demandent de « valider » une transaction de récupération. Après un exploit, les tentatives d’hameçonnage se multiplient plus vite que les post-mortems.

Enfin, le bon réflexe structurel n’est pas de jurer qu’on ne touchera plus jamais à la DeFi. C’est de traiter chaque LST dans un marché de prêt comme un produit à levier caché. Le rendement affiché paie un risque d’intégration. Plus le LTV est haut, plus l’E Mode est généreux, plus ce risque est cher. 81,5 % et 78,5 %, ce n’est pas un détail de fiche technique. C’est le volume du siphon potentiel.

Une Leçon Plus Large Que Flow Et Qu’Un Seul Protocole

L’industrie aime dire qu’elle « mature ». Les chiffres, eux, continuent de raconter autre chose : des réserves qui se vident, des oracles trop confiants, des forks trop rapides, des audits trop étroits. More Markets n’invente pas cette histoire. Il l’inscrit dans un calendrier déjà chargé, où d’autres écosystèmes EVM ont aussi vu des vulnérabilités se propager de chaîne en chaîne. Le voisinage récent d’incidents sur des stacks EVM Cosmos, avec des drains chez plusieurs projets, montre que la compatibilité est un accélérateur d’usage autant qu’un accélérateur de copies d’attaque.

Il y a pourtant une différence utile à rappeler. Une vulnérabilité de machine virtuelle ou de runtime, comme celle de Cadence en 2025, met en jeu la promesse même d’une chaîne. Un exploit de protocole de prêt met en jeu la promesse d’une application. Les deux détruisent de la confiance. Ils ne se réparent pas avec les mêmes outils. On ne rollback pas un marché de prêt comme on isole une offre contrefaite. On pause des marchés, on reparamètre, on remplace un oracle, on discute d’un recapitalisation. Parfois on ne récupère rien.

Le cas More Markets pose aussi une question de gouvernance du risque. Qui décide qu’ankrFLOW et WFLOW sont assez proches pour l’E Mode ? Qui fixe 81,5 % plutôt que 70 % ? Qui relit le ratio feed après une mise à jour d’Ankr ? Dans beaucoup de forks, ces choix tiennent dans un multisig, un forum et une habitude. Ce n’est pas suffisant quand des millions dorment dans une seule réserve. La DeFi a industrialisé le prêt. Elle n’a pas encore industrialisé, partout, la revue continue des hypothèses qui rendent le prêt possible.

Ce Qu’Il Faudra Surveiller Dans Les Jours Qui Viennent

Plusieurs signaux diront si l’affaire se referme ou s’étend. D’abord, la cartographie complète des fonds. Si une part significative atterrit sur des plateformes identifiables, une récupération partielle reste possible. Ensuite, la publication d’un post-mortem technique. Sans lui, le marché restera dans le flou et d’autres protocoles utilisant le même LST ou le même schéma d’E Mode devront avancer à l’aveugle. Enfin, la réaction de Flow et d’Ankr, même s’ils ne sont pas désignés comme compromis : un silence trop long nourrit l’amalgame, une communication trop défensive aussi.

Il faudra également regarder l’état des neuf marchés listés par More Markets. Un drain concentré sur mFlowWFLOW n’exclut pas des effets de second tour : liquidations en cascade, dépeg local, ruée vers la sortie sur d’autres paires. Les protocoles de prêt meurent rarement d’une seule ligne. Ils meurent d’une ligne plus la panique qui suit.

Les précédents de Flow enseignent encore autre chose. Après décembre 2025, le débat sur le rollback avait montré que la « solution » technique pouvait créer un second conflit, cette fois avec les ponts et les utilisateurs trans-chaînes. Ici, nul besoin d’imaginer un rollback réseau. En revanche, toute tentative de compensation mal conçue, tout gel trop large, toute communication ambiguë sur qui a perdu quoi, peut ouvrir un contentieux durable. L’épisode sud-coréen de 2026 autour de la cotation du FLOW reste un souvenir utile : la technique finit toujours par rencontrer le droit, les listes d’échange et la patience des déposants.

Une Affaire Encore Ouverte, Un Signal Déjà Clair

Au moment où ces lignes sont écrites, More Markets a perdu, selon la détection initiale, 15,5 millions de WFLOW. L’étiquette en dollars vaut environ 9,3 millions. L’attaquant a combiné un LST Ankr bonded et l’E Mode. Les fonds ont ensuite emprunté un corridor d’exfiltration encore sous investigation. Ankr n’a pas été accusé d’avoir été percé. Flow n’a pas été accusé d’avoir cédé au niveau consensus. Le protocole de prêt, lui, porte le nom de la cible.

Ce résumé tient en un paragraphe. La leçon, non. Elle dit que la sophistication apparente d’une stack — EVM sur Flow, LST reward-bearing, architecture Aave V3, audits externes — ne remplace pas la banalité d’une hypothèse fausse. Elle dit aussi qu’un écosystème déjà éprouvé par une faille d’exécution n’a pas le droit à l’à-peu-près dans la façon dont il raconte le incident suivant. Séparer la chaîne de l’application n’est pas une échappatoire. C’est une exigence de clarté.

Les prochaines mises à jour diront si les 9,3 millions restent le chiffre de référence ou s’ils fondent, s’alourdissent, se négocient. En attendant, la réserve mFlowWFLOW a livré son verdict le plus simple qui soit : l’argent était là, puis il ne l’était plus. Dans la DeFi, cette phrase-là n’a jamais besoin d’un grand discours pour faire le tour du marché.

Ceux qui restent exposés à des constructions similaires feraient bien de relire, sans romantisme, la fiche de leurs marchés : LTV, seuil, oracle, ratio, mode d’efficacité, audit du fork et pas seulement audit du LST. Ce n’est pas glamour. C’est moins cher qu’un cluster de transactions à 9 millions. Et c’est, pour l’instant, le seul mode d’emploi raisonnable que laisse derrière elle la matinée du 31 août 2026.