Le 30 août 2026, environ 1,1 million de dollars ont été retirés de comptes servant à garantir la dépense de cartes de paiement émises sur l’infrastructure de Rain, fournisseur de programmes de cartes adossés à des actifs numériques sur la chaîne Solana. Deux programmes ont publié leurs pertes : Avici, pour 500 800 dollars et 1 685 utilisateurs, et Tria, pour plus de 430 000 dollars et 636 utilisateurs. La différence avec le total concerne d’autres programmes, que Rain n’a pas nommés.
Ce qui a été vidé, et ce qui ne l’a pas été
L’attaque a porté sur les comptes de collatéral, c’est-à-dire les soldes immobilisés pour garantir les dépenses par carte. Ces comptes sont distincts des portefeuilles auto-conservés des utilisateurs, qui n’ont pas été touchés. La distinction délimite la portée de l’incident : les fonds atteints sont ceux qui adossent la dépense, et non les avoirs que les porteurs conservent eux-mêmes.
Le mécanisme : une autorisation signée soumise en boucle
L’attaquant a soumis de façon répétée des autorisations signées pour s’inscrire lui-même comme administrateur de comptes de collatéral pris un par un, puis a retiré les soldes correspondants. Le défaut se situe dans une version périmée du contrat de carte de Rain, restée en service chez plusieurs programmes. Le contrôle obtenu portait sur des comptes individuels, ce qui explique le déroulement compte par compte plutôt qu’une ponction unique sur une réserve commune.
- Soumission répétée d’autorisations signées au contrat de carte
- Inscription de l’attaquant comme administrateur d’un compte de collatéral
- Retrait du solde de ce compte, puis passage au compte suivant
Le trajet des fonds
Les stablecoins retirés ont été convertis en SOL, transférés vers Ethereum, puis passés par le mélangeur Tornado Cash. Le passage par un mélangeur interrompt la traçabilité publique de la chaîne. L’identification du destinataire final dépend alors d’éléments extérieurs à la chaîne, tels qu’un point de sortie vers la monnaie officielle ou une réquisition auprès d’un intermédiaire.
Ce que les deux programmes ont annoncé
Avici s’est engagé à rembourser intégralement les soldes touchés et a déposé un signalement auprès de l’Internet Crime Complaint Center du FBI. Tria s’est également engagé à rembourser ses clients. Aucune des deux sociétés n’a publié de calendrier de remboursement.
Le jeton AVICI est passé d’un plus haut de 0,43 dollar sur vingt-quatre heures à un plus bas de 0,217 dollar, soit un recul de 49 %, avant de revenir autour de 0,378 dollar. Le jeton de Tria a reculé de plus de 10 %.
La deuxième interruption d’un programme de cartes en un mois
Le 2 août 2026, la défaillance de l’émetteur parisien Kulipa avait éteint 120 000 cartes stablecoin en une nuit. Les causes diffèrent, une faillite dans un cas et un contrat vulnérable dans l’autre. La dépendance est la même : un programme de cartes repose sur une infrastructure qu’il n’exploite pas, et dont il hérite des défauts sans les voir.
Deux éléments restent à publier pour mesurer la portée de l’incident : le calendrier de remboursement annoncé par les deux programmes, et l’inventaire des programmes qui exécutaient la version périmée du contrat. Rain n’a pas indiqué depuis combien de temps cette version restait en production.