SlowMist signale une perte d'environ 1,013 million d'USDC sur un pool

SlowMist rattache la perte à un pool de type TranchePool

La société SlowMist fait état d'une perte d'environ 1,013 million d'USDC sur un contrat de type « TranchePool », dans une alerte de sa série « SlowMist TI Alert » diffusée le 28 octobre 2026 sur son compte officiel X. SlowMist présente elle-même ce montant comme approximatif (« ~1.013M USDC »).

🚨 SlowMist TI Alert 🚨
💸 Loss: ~1.013M USDC from a TranchePool reportedly associated with @ValinorDigital, Oatfi, and @fence_finance
🔍 Root Cause: At the UTC day rollover, the victim’s settlement logic treated a scheduled principal payment as received and subtracted it from the tranche’s recorded outstanding principal, despite no USDC repayment. The draw function (0x8e27c105) then checked the requested amount against funded principal − outstanding principal. That artificially restored 1.013M USDC of draw capacity, allowing the attacker to draw the same amount a second time with identical calldata.
📌 Attacker: 0x6ff1c3ffa622e1062168f3497a275be9cc2b1246
📌 Vulnerable Contract: 0xe25cb545bdd47a8ec2d08001cb5661b00d47621a
Powered by https://t.co/Mz5jOnx997
Tx:
https://t.co/wIN7n6QQPB
https://t.co/V2HJgLrhdk

— SlowMist (@SlowMist_Team), 28 octobre 2026 à 4 h 14 Compte officiel

Voir le message sur X ↗

SlowMist rattache ce pool à trois acteurs : Valinor Digital, Oatfi et Fence Finance. L'alerte emploie la formule « reportedly associated » (« associé, selon les informations rapportées », traduit de l'anglais). Le lien entre le pool et ces trois acteurs est donc rapporté par SlowMist.

Dans la même alerte, SlowMist publie l'adresse qu'elle attribue à l'attaquant (« Attacker »), l'adresse du contrat qu'elle qualifie de vulnérable (« Vulnerable Contract ») et un lien vers la transaction concernée.

Un paiement de principal prévu a été traité comme reçu

Selon SlowMist, la cause racine (« Root Cause ») de la perte se trouve dans la logique de règlement du pool. Au passage du jour en temps universel coordonné (UTC), cette logique de règlement a considéré comme reçu un paiement de principal prévu à l'échéancier.

D'après l'alerte de SlowMist, la logique de règlement a ensuite soustrait ce paiement du principal restant dû enregistré pour la tranche (« subtracted it from the tranche's recorded outstanding principal », dans le texte de l'alerte). SlowMist précise qu'aucun remboursement en USDC n'avait été effectué (« despite no USDC repayment »).

SlowMist attribue ce traitement à la logique de règlement de « la victime » (« the victim's settlement logic », traduit de l'anglais), désignant ainsi le pool comme la partie lésée.

La fonction de tirage a autorisé un second retrait du même montant

Selon SlowMist, la fonction de tirage du contrat (« draw function ») contrôlait chaque demande en la comparant à une capacité égale au principal financé diminué du principal restant dû (« funded principal − outstanding principal », dans le texte de l'alerte).

La baisse du principal restant dû, sans remboursement, a « artificiellement » rétabli 1,013 million d'USDC de capacité de tirage, selon l'alerte de SlowMist du 28 octobre 2026 (« artificially restored », traduit de l'anglais).

SlowMist indique que ce mécanisme a permis à l'attaquant de tirer une seconde fois le même montant, avec des données d'appel identiques (« identical calldata », c'est-à-dire les mêmes paramètres transmis au contrat).

L'alerte de SlowMist n'annonce aucune suite : elle ne précise pas si les fonds ont été récupérés ni si Valinor Digital, Oatfi ou Fence Finance ont réagi.

Questions fréquentes

Comment la fonction de tirage du TranchePool a-t-elle permis un second retrait de 1,013 million d'USDC ?

Selon l'alerte « SlowMist TI Alert » publiée le 28 octobre 2026 sur le compte X de SlowMist, la fonction de tirage (« draw function ») comparait chaque demande au principal financé diminué du principal restant dû. La logique de règlement avait soustrait un paiement prévu du principal restant dû, sans aucun remboursement en USDC. Cette baisse a « artificiellement » rétabli 1,013 million d'USDC de capacité de tirage (traduit de l'anglais). SlowMist indique que l'attaquant a ainsi pu tirer une seconde fois le même montant, avec des données d'appel identiques (« identical calldata »).

Quelles informations techniques SlowMist publie-t-elle sur l'attaque du TranchePool ?

Dans son alerte du 28 octobre 2026 sur X, SlowMist publie l'adresse qu'elle attribue à l'attaquant, 0x6ff1c3ffa622e1062168f3497a275be9cc2b1246, et celle du contrat qu'elle qualifie de vulnérable (« Vulnerable Contract »), 0xe25cb545bdd47a8ec2d08001cb5661b00d47621a. Elle donne aussi un lien vers la transaction concernée. Elle cite la fonction de tirage (« draw function ») sous l'identifiant 0x8e27c105. Ces éléments sont ceux de SlowMist, présentés dans son message du 28 octobre 2026.