Le samedi 17 octobre, le volume de transferts d'USDT a atteint 3.69 mille milliards de dollars. C'est 35 fois le précédent record établi en avril et 20 fois le montant d'USDT en circulation. Le pic anormal a été signalé dès que les données sont apparues. Aucun événement de marché légitime n'expliquait ce qui se passait.
La cause était une faille $207K dans BiFi Lending, un protocole dont les pools de prêt USDT étaient restés presque inutilisés pendant des années. Un bot white-hat, de ceux qui copient les failles pendant leur exécution puis restituent les fonds, a atteint le pool avant l'attaquant initial. Par la suite, environ 18,370 transactions réalisées par des bots imitateurs ont fait transiter des milliers de milliards de dollars d'USDT emprunté à travers le système, pour ne gagner presque rien au final.
Cette analyse retrace comment les fonds ont quitté le protocole, comment la plupart d'entre eux ont été restitués, et pourquoi le volume brut de transferts, une métrique qui comptabilise chaque transfert, y compris lorsque les fonds ne vont finalement nulle part, reflète mal ce qui s'est réellement passé.
Pourquoi les pools USDT inutilisés de BiFi Lending étaient vulnérables
BiFi Lending a été créé par Bifrost et lancé sur Ethereum, puis quelques semaines plus tard sur BNB Chain. Au 2026 octobre, les pools USDT du protocole étaient à peine utilisés. Le pool sur BNB Chain ne voyait que quelques petites transactions par mois. Selon une analyse publique de la faille, le pool sur Ethereum n'avait pas été utilisé depuis environ 36 jours.
C'est cette inactivité qui a créé la faille exploitée par l'attaque. Lorsqu'un marché BiFi reste inactif pendant une longue période, les intérêts dus pour toute cette période s'y accumulent. Lors du prochain appel du marché, ces intérêts sont appliqués à la transaction.
Un emprunteur regroupant des dizaines d'opérations de dépôt, d'emprunt et de remboursement en une seule transaction pouvait percevoir plusieurs fois les intérêts accumulés sur 36 jours. BiFi n'a publié aucun rapport sur les causes et les conséquences de l'attaque.
05:43 UTC: un bot white-hat devance les attaquants de BiFi
Tôt le matin du 17 octobre, l'attaquant initial a déployé un contrat intelligent conçu pour drainer le pool sur Ethereum. Mais une autre transaction est passée en premier.
Elle provenait de c0ffeebabe.eth, un bot connu pour copier les failles pendant leur exécution et restituer les fonds. Le bot a contracté un prêt flash de $40.5M USDT auprès de Morpho.
Le bot a ensuite fait transiter les fonds par le pool de BiFi, remboursé le prêt Morpho et converti le produit en 68 ETH. Il a payé $2 en frais de réseau et proposé au block builder un pourboire de 0.99 ETH, soit environ $2.4K, pour s'assurer que la transaction soit incluse dans le bloc avant les autres. Un block builder est l'acteur de l'infrastructure blockchain qui décide de l'ordre d'inclusion des transactions dans un bloc.
Cette seule transaction a retiré $165.6K, soit 99% de l'ensemble des fonds perdus par le pool sur Ethereum ce jour-là.
06:13 UTC: le même bug est exploité sur BNB Chain
Trente minutes plus tard, le bug a été exploité sur BNB Chain, où BiFi avait déployé le même code. Une seule transaction a créé un contrat intelligent, contracté un prêt flash sans frais de $35.7M auprès de l'Infinity Vault de PancakeSwap, exécuté la même boucle d'opérations et retiré $34.1K. Cela représentait 85% des pertes du pool sur BNB Chain. Les frais de réseau se sont élevés à environ 50 cents.
Le contrat avait été conçu pour un usage unique, et les fonds n'ont jamais été restitués. À 06:14, les deux transactions décisives étaient déjà terminées. Ensemble, elles avaient retiré $199.6K.
05:44 à 09:34 UTC: 18,370 transactions imitatrices
Sur BNB Chain, des bots copieurs sont apparus trois secondes après la première attaque. Ces programmes automatisés surveillent la blockchain à la recherche de transactions rentables et les reproduisent en quelques secondes. Sur Ethereum, ils ont démarré à 05:44, une minute après la transaction de c0ffeebabe.eth. Au moins deux opérateurs de bots distincts étaient actifs simultanément. Chacun d'eux a utilisé les mêmes portefeuilles et contrats intelligents sur les deux réseaux.
Presque la totalité de ce montant, à l'exception d'environ un dixième de cent, est partie en frais de réseau.
Sur près de quatre heures, environ 18,370 transactions de ce type ont déplacé 3.63 mille milliards de dollars en USDT. Elles ont retiré $7.2K des pools: $6.2K sur BNB Chain et $1K sur Ethereum. Pendant ce temps, $6.8K a été dépensé en frais de réseau, appelés gas, et en pourboires aux block builders. Le profit combiné s'est élevé à environ $470. L'opérateur le plus actif a gagné environ $350 sur BNB Chain mais a perdu environ $100 sur Ethereum.
Qui a retiré combien des pools USDT de BiFi du 17 au 18 octobre 2026
| Participant | Réseau | Transactions | USDT retiré | USDT déplacé | Frais | Retourné |
|---|---|---|---|---|---|---|
| c0ffeebabe.eth, 05:43 UTC | Ethereum | 1 | $165.6K | 0.36 milliards de dollars | $2.4K* | $159.1K** |
| Bot ponctuel, 06:13 UTC | BNB Chain | 1 | $34.1K | 0.20 milliards de dollars | $0.50K | Rien |
| Transactions suivantes de c0ffeebabe.eth jusqu'à 09:17 UTC | Ethereum | 94 | $0.5K | 32.7 milliards de dollars | $0.4K | Compté ci-dessus** |
| Bots copieurs, 05:44-09:34 UTC | Les deux réseaux | environ 18,370 | $7.2K | 3.63 mille milliards de dollars | $6.8K | Rien |
| Total | environ 18,460 | $207.3K | 3.66 mille milliards de dollars | $9.6K | $159.1K |
* Les frais comprennent les frais de réseau et les paiements au block builder. Dans sa première transaction, c0ffeebabe.eth a payé $2 en gas et a donné au block builder un pourboire de 0.99 ETH, soit environ $2.4K.
** 159,104 USDC a été retourné au pool USDT de BiFi sur Ethereum le 18 octobre. Cela représente environ 96% des $166.1K que c0ffeebabe.eth a retirés dans les deux lignes du tableau. D'autres marchés BiFi ont perdu environ $10K de plus; ces fonds ne sont pas inclus ici. Source: analyse de données publiques de la blockchain.
18 octobre: c0ffeebabe.eth restitue les fonds
Le lendemain, à 17:21 UTC, c0ffeebabe.eth a acheté 159,104 USDC et les a envoyés au pool USDT de BiFi sur Ethereum. Cela représente 96% du total de $166.1K que le bot a retiré, y compris les $0.5K obtenus lors de transactions ultérieures plus petites. Le bot a conservé les $7K restants.
Douze minutes plus tard, un bot d'escroquerie a envoyé un token sans valeur ressemblant à l'USDC vers le même pool, pour exactement le même montant. Le transfert provenait d'une adresse spécialement créée pour ressembler à l'adresse de c0ffeebabe.eth.
Après prise en compte du remboursement, les pertes des deux pools USDT de BiFi s'élèvent à environ $48K, la majeure partie sur BNB Chain. La même matinée, les mêmes bots, y compris c0ffeebabe.eth, ont retiré environ $10K de plus d'autres marchés BiFi inactifs. Les actifs concernés comprenaient BNB, USDC, DAI, BTCB, BUSD, ETH et LINK.
Pourquoi le record de 3.69 mille milliards de dollars de transferts USDT n'était en grande majorité que du bruit statistique
En volume de transfert brut, le 17 octobre a été la plus grosse journée pour l'USDT depuis au moins avril. Ce jour-là, le token a été déplacé entre adresses sur tous les réseaux à hauteur de 3.69 mille milliards de dollars. C'est 35 fois le précédent record de 106 milliards de dollars enregistré le 8 juin, et 71 fois le volume quotidien habituel de 52.1 milliards de dollars. Sur BNB Chain seul, le chiffre a atteint 3.51 mille milliards de dollars, contre un volume habituel d'environ 6.1 milliards de dollars.
Le volume de transfert net raconte une autre histoire. Il compense les fonds qui quittent une adresse et y reviennent directement. Le 17 octobre, le volume de transfert net d'USDT était de 3.9 milliards de dollars, à peu près le même que les 4.1 milliards de dollars du samedi précédent.
Cet écart a de l'importance au-delà de l'évaluation d'un seul exploit. Les classements des stablecoins et les tableaux de bord d'analyse de marché citent souvent le volume brut comme mesure de l'usage réel d'un actif.
Du bruit sur la blockchain: pourquoi près d'un tiers des transferts TRON sont du spam16 sept. 2026En savoir plus
Ce que l'exploit de BiFi signifie pour les données de volume des stablecoins
Le volume brut doit être examiné en parallèle avec les flux nets. Des flash loans gratuits ont permis à un bot de déplacer $196M pour gagner un dixième de cent. Les chiffres de transfert importants peuvent refléter non pas une activité économique réelle mais le montant de capital disponible à l'emprunt. Le volume de transfert net et les informations sur qui se trouve de l'autre côté de chaque transaction aident à montrer quels fonds ont réellement changé de mains.
Les contrats intelligents non maintenus continuent de fonctionner. Les pools BiFi Lending contenaient encore des fonds, et les pools eux-mêmes continuaient de répondre à tout appel. Aujourd'hui, le pool BNB Chain détient environ $21K. Si un contrat intelligent déployé n'est plus maintenu, il doit être mis en pause ou vidé de ses fonds.
La récupération white-hat dépend du timing. Les fonds sur Ethereum sont revenus parce que le bot white-hat est arrivé au pool en premier. Sur BNB Chain, 30 minutes plus tard, cela ne s'est pas produit. Un protocole fonctionnant sur plusieurs réseaux a besoin d'un mécanisme permettant de mettre en pause les opérations sur tous ces réseaux simultanément.
