Exploitation du Pool de Vesting de Tokens Partagés de UNCX Network pour 86 000 $

Un pool de vesting de tokens partagés géré par UNCX Network a été exploité sur Ethereum, permettant le retrait d'environ 86 000 $ en tokens lors d'une seule transaction, comme l'a rapporté la société de sécurité Blockaid. L'incident a été signalé le 14 octobre 2026, et il a été noté que le contrat affecté contenait encore environ 3,25 millions de dollars d'actifs au moment de l'attaque.

L'exploitation a impliqué la manipulation de la logique de vesting du contrat par l'attaquant. Celui-ci a ouvert de nouvelles positions de vesting, libéré et donné des tokens dans une séquence spécifique, puis annulé ces positions. Cette annulation a permis à l'attaquant de retirer des actifs appartenant à d'autres utilisateurs qui avaient verrouillé leurs tokens dans le même pool.

Blockaid a rendu publiques les adresses de l'exploitant ainsi qu'un exemple de transaction, ce qui pourrait aider à tracer les activités de l'attaquant. Cependant, cela ne permet pas de récupérer les fonds volés. UNCX Network, opérationnel depuis 2020, a rapporté plus de 164 millions de dollars de valeur totale verrouillée et plus de 74 000 verrouillages créés. L'exploitation a ciblé un pool de vesting partagé plutôt que des verrouillages individuels ou des fonctionnalités de liquidité essentielles, ce qui est crucial pour les utilisateurs évaluant leur exposition.

La nature continue de l'attaque soulève des inquiétudes quant aux 3,25 millions de dollars restants dans le contrat affecté. Si le vecteur d'attaque reste ouvert, la perte initiale de 86 000 $ pourrait ne représenter que le début de pertes potentielles. Les projets utilisant UNCX pour le vesting de tokens sont conseillés de vérifier les contrats dans lesquels leurs tokens se trouvent, car les verrouillages individuels et les fonctionnalités de liquidité n'étaient pas les cibles de l'attaque.

Cet incident met en lumière les risques associés aux contrats partagés, où la commodité peut conduire à des vulnérabilités. La séquence d'actions entreprises par l'attaquant—création, libération, don et annulation—apparaissait bénigne mais a eu des conséquences graves. L'importance d'une surveillance en temps réel a été soulignée par la capacité de Blockaid à détecter l'exploitation alors qu'elle était encore en cours.

À l'avenir, les parties prenantes attendront une déclaration de UNCX concernant l'exploitation, la sécurité du solde restant dans le contrat, et si les projets affectés recevront une forme de remboursement.