Hack de GMX sur Arbitrum : 40 millions de dollars siphonnés

Déployé en septembre 2021, GMX est une plateforme de trading décentralisé déployée sur Arbitrum et Avalanche. Forte de 360 millions de dollars de TVL, GMX est le deuxième protocole DeFi d’Arbitrum. Malheureusement, le protocole a été la cible d’une attaque ayant entraîné le vol de 40 millions de dollars en cryptomonnaies.

Hack GMX : 40 millions de $ envolés

Mercredi 9 juillet, les équipes de GMX ont alerté la communauté après avoir été la cible d’un hack. Selon l’annonce, le hacker a réussi à siphonner l’équivalent de 40 millions de dollars dans la pool GLP du protocole.

« Le pool GLP de GMX V1 sur Arbitrum a été victime d’un exploit. Environ 40 millions de dollars de jetons ont été transférés du pool GLP vers un portefeuille inconnu. »

Afin de limiter la casse, les équipes de GMX ont directement mis en pause le trading ainsi que le mint des jetons GLP.

À noter que la faille exploitée semble uniquement impacter la v1 de GMX et non sa v2 plus récente.

« D’après les informations disponibles, la vulnérabilité est limitée à GMX V1 et à son pool GLP. Veuillez noter que l’exploit n’affecte pas GMX V2, ses marchés ou ses pools de liquidité, ni le jeton GMX lui-même. »

En parallèle de cette annonce, GMX a invité les protocoles qui ont utilisé le même code source à la plus grande prudence. Ces derniers sont invités à modifier plusieurs paramètres de leurs smart contracts afin de protéger les fonds des utilisateurs.

Finalement, GMX a engager une négociation avec le hacker via un message sur la blockchain. Les équipes ont proposé une récompense de 10% du montant (soit 4 millions de dollars) contre la restitution des fonds.

Les dessous du hack

Comme nous venons de l’aborder, cette faille impactait le jeton GLP de GMX v1. Pour rappel, le GLP est un jeton de liquidités qui représente les dépôts des utilisateurs.

Sous le capot, le GLP prend la forme d’un indice d’actifs composé à 50% de stablecoins et à 50% de grosses cryptomonnaies  telles que BTC, ETH, UNI ou encore AVAX.

Ce jeton est au cœur de la stabilité du système. En effet, la pool GLP sert de contrepartie aux traders qui utilisent GMX pour des opérations à effet de levier. Ainsi, quand les traders gagnent, les détenteurs de GLP perdent, et inversement. De plus, 70% des frais de la plateforme sont redistribués aux détenteurs de GLP.

Pour l’instant, les détails de l’attaque restent encore flous, et GMX épaulés d’experts en sécurité continuent d’investiguer. Toutefois, il semblerait que le problème vient d’un calcul de prix sur les positions shorts.

« La manipulation en question concerne le calcul du prix moyen des shorts sur V1. Ce mécanisme de calcul n’est pas utilisé dans les contrats GMX V2. »

Un nouveau hack qui vient frapper l’écosystème crypto et augmenter les pertes enregistrées en 2025. Année qui sera des plus sanglantes, notamment suite au hack massif de Bybit en février dernier, pendant lequel les hackers de Lazarus ont dérobé 1,4 milliard de dollars en ETH.