Moonwell, un protocole de prêt en finance décentralisée (DeFi) actif sur les écosystèmes Base et Optimism, a été la cible d’une exploitation calculée qui a permis aux attaquants de récolter environ 1,78 million de dollars. La cause principale résidait dans un oracle de prix pour Coinbase Wrapped Staked ETH (cbETH) qui renvoyait une valeur anormalement basse — environ 1,12 dollar au lieu du prix correct proche de 2 200 dollars — créant une erreur de tarification que des acteurs avisés pouvaient exploiter pour réaliser des profits. Cet incident souligne la fragilité de l’infrastructure DeFi inter-chaînes lorsque les flux de prix sont défaillants et que les systèmes automatisés se basent sur des données erronées. Il met également en lumière le rôle du développement assisté par l’IA dans la sécurité des contrats intelligents, un sujet de plus en plus controversé alors que les équipes s’appuient sur des outils pilotés par l’IA pour accélérer la programmation et les audits.
L’histoire relie une erreur de tarification technique à des questions de gouvernance et d’ingénierie qui dépassent un simple exploit. Suite à l’incident, l’activité de développement de Moonwell a été scrutée après que le chercheur en sécurité Leonid Pashov a signalé sur les réseaux sociaux des préoccupations concernant les contributions assistées par l’IA dans la base de code sous-jacente. Les demandes de tirage associées aux contrats affectés montrent plusieurs commits co-rédigés par Claude Opus 4.6, une référence aux outils d’IA d’Anthropic, ce qui a amené Pashov à qualifier publiquement le cas d’un exemple de code Solidity écrit ou assisté par l’IA qui a mal tourné. La discussion ne porte pas uniquement sur l’IA ; elle concerne aussi la question de savoir si la génération automatique de code a été couplée à des garde-fous suffisants.
En s’entretenant avec Cointelegraph, Pashov a décrit comment la découverte s’est déroulée : l’équipe avait relié le cas à Claude parce que plusieurs commits dans les demandes de tirage étaient attribués au flux de travail assisté par l’IA de Claude, suggérant que le développeur avait utilisé l’IA pour rédiger certaines parties du code. L’implication plus large, selon lui, n’est pas que l’IA soit intrinsèquement défectueuse, mais que le processus a échoué à mettre en place des vérifications rigoureuses et une validation de bout en bout. Cette distinction est importante car elle encadre l’incident comme un avertissement sur la gouvernance, la discipline d’audit et la rigueur des tests — des facteurs qui devraient gouverner tout projet DeFi expérimentant avec des flux de développement activés par l’IA.
Code vulnérable ayant conduit à l’exploitation de Moonwell. Source : Pashov
Les premiers commentaires de l’équipe Moonwell suggéraient qu’il n’y avait pas eu de tests ou d’audits approfondis dès le départ. Plus tard, l’équipe a affirmé que des tests unitaires et d’intégration existaient dans une demande de tirage séparée et qu’un audit avait été commandé auprès de Halborn. L’évaluation de Pashov est restée que la mauvaise tarification aurait pu être détectée avec un test d’intégration suffisamment rigoureux, reliant la logique on-chain et off-chain, même s’il a refusé de pointer une société d’audit en particulier. Le débat a porté sur la question de savoir si le code généré ou assisté par l’IA devait être considéré comme une entrée non fiable, soumis à des processus de gouvernance stricts, à un contrôle de version et à une revue par plusieurs personnes, notamment dans les zones à haut risque telles que les contrôles d’accès, l’interaction avec l’oracle, la logique de tarification et les voies de mise à niveau.
Au-delà des aspects techniques, l’incident de Moonwell a intensifié la discussion plus large sur le rôle de l’IA dans le cycle de développement crypto. Fraser Edwards, co-fondateur et CEO de cheqd, fournisseur d’infrastructures d’identité décentralisée, a soutenu que le discours sur le « vibe coding » masque deux réalités distinctes dans l’utilisation de l’IA. D’un côté, des fondateurs non techniques peuvent s’appuyer sur l’IA pour rédiger du code qu’ils ne peuvent pas examiner eux-mêmes ; de l’autre, des développeurs expérimentés peuvent exploiter l’IA pour accélérer les refactors, explorer des modèles et tester des idées dans une discipline d’ingénierie mature. Edwards a souligné que le développement assisté par l’IA peut être précieux lors de la phase MVP, mais ne doit jamais se substituer à une infrastructure prête pour la production dans des environnements à forte capitalisation comme la DeFi.
Edwards a insisté sur le fait que tout code de contrat intelligent généré par l’IA doit être traité comme une entrée non fiable, nécessitant un contrôle de version robuste, une propriété clairement définie, une revue par plusieurs pairs et des tests avancés — en particulier pour les modules régissant les contrôles d’accès, les oracles, la logique de tarification et les mécanismes de mise à niveau. Il a ajouté que l’intégration responsable de l’IA dépend en fin de compte de la gouvernance et de la discipline, avec des étapes de revue explicites et une séparation entre la génération de code et la validation. L’objectif est de garantir que les déploiements dans des environnements adverses comportent un risque latent qu’il faut anticiper et atténuer.
Petite perte, grandes questions de gouvernance
L’incident Moonwell s’inscrit dans un contexte plus large où la tolérance au risque de la DeFi rencontre des pratiques de développement en évolution. Bien que le montant de cette exploitation soit modeste comparé à certains des piratages les plus célèbres de la DeFi — comme le hack de la passerelle Ronin en mars 2022 qui a permis de dérober plus de 600 millions de dollars — cet épisode met en lumière comment les décisions de gouvernance, la rigueur des tests et les choix d’outillage peuvent influencer les résultats en temps réel. La combinaison de modifications assistées par l’IA, d’une mauvaise configuration de l’oracle de prix et d’un code déjà audité soulève une question précise : comment les projets doivent-ils équilibrer rapidité, innovation et sécurité lorsque l’IA fait partie du flux de développement ? Les leçons s’appliquent à tout protocole dépendant de flux de prix externes et de chemins de mise à niveau complexes, notamment lorsque ces mises à niveau touchent la collateralisation et le risque de liquidité.
Alors que l’industrie pèse ces facteurs, l’épisode Moonwell sert de test pratique pour des modèles de sécurité qui tentent de faire évoluer le développement activé par l’IA sans compromettre les garde-fous essentiels. Il montre que même avec des audits et des tests en place, une validation de bout en bout englobant les interactions on-chain et off-chain reste indispensable. La tension entre itération rapide et vérification exhaustive ne devrait pas diminuer, surtout à mesure que davantage de protocoles explorent des outils pilotés par l’IA pour suivre le rythme de l’innovation tout en maintenant la sécurité.
« Vibe coding » vs utilisation disciplinée de l’IA
Le discours autour du codage assisté par l’IA dans la crypto a évolué d’une critique binaire de l’IA versus les développeurs humains à un débat nuancé sur le processus. Les réflexions d’Edwards soulignent que l’IA peut être un outil productif lorsqu’elle est intégrée dans un cadre discipliné qui met l’accent sur les garde-fous, la propriété et des tests rigoureux. Le cas Moonwell renforce l’idée que le code généré par l’IA nécessite toujours le même niveau de vigilance que le code écrit à la main, voire plus, compte tenu des enjeux élevés en DeFi.
Concrètement, cet incident invite à réévaluer la gouvernance des flux de travail assistés par l’IA au sein des équipes de contrats intelligents : qui possède la sortie générée par l’IA, comment les modifications sont revues, et comment les tests automatisés reflètent les scénarios réels sur la blockchain. La principale conclusion n’est pas de diaboliser la technologie, mais de s’assurer que les canaux de gouvernance, les pipelines d’audit et la validation on-chain restent suffisamment solides pour détecter les erreurs de configuration et les erreurs de tarification avant que le capital ne soit mis en danger.
À quoi s’attendre ensuite
Moonwell présente des mesures de remédiation et des changements de gouvernance suite à l’exploitation, notamment en ce qui concerne l’intégration des oracles et les chemins de mise à niveau.
Les auditeurs et l’équipe Moonwell publient une analyse détaillée post-mortem ainsi qu’un cadre de tests révisé qui relie explicitement les scénarios on-chain aux tests unitaires et d’intégration.
Des audits indépendants supplémentaires se concentrent sur les flux de développement assistés par l’IA et leur impact sur les composants critiques des contrats intelligents.
Des améliorations de la surveillance on-chain et des alertes sont mises en œuvre pour détecter en temps réel les anomalies de prix et déclencher des mesures de protection telles que des coupe-circuits ou des mécanismes de pause.
Sources & vérification
Demande de tirage v2 des contrats Moonwell ayant révélé le problème de tarification : https://github.com/moonwell-fi/moonwell-contracts-v2/pull/578
Discussion publique par le chercheur en sécurité Pashov faisant référence aux commits assistés par l’IA dans Moonwell : https://x.com/pashov/status/2023872510077616223
Contexte sur les exploits DeFi et leurs implications en gouvernance (passerelle Ronin, passerelle Nomad, etc.) mentionnés dans la couverture associée : https://cointelegraph.com/news/battle-hardened-ronin-bridge-to-axie-reopens-following-600m-hack et https://cointelegraph.com/news/suspect-behind-190-million-nomad-bridge-hack-extradited-us
Discussions industrielles sur l’IA dans la gouvernance crypto et analyses des pratiques de développement assisté par l’IA
Codage assisté par l’IA, erreur de tarification et gouvernance dans Moonwell : ce que cela signifie pour la DeFi
L’expérience Moonwell illustre une tension pratique à l’intersection des outils activés par l’IA et de la sécurité en DeFi. Une erreur de tarification exploitable dans un flux de prix cbETH montre que même de modestes erreurs numériques dans les oracles peuvent entraîner des pertes importantes lorsque la stratégie et le flux de fonds sont levés via un protocole de prêt. La leçon plus large est claire : le développement assisté par l’IA peut accélérer l’itération, mais ne supprime pas la nécessité de validations rigoureuses de bout en bout simulant les interactions réelles sur la blockchain.
À court terme, cet incident devrait inciter les équipes de protocoles à revoir leurs structures de gouvernance autour de la génération de code, de la propriété des modifications et de l’équilibre entre outils automatisés et supervision humaine. Il souligne aussi l’importance de tests d’intégration solides reliant l’état on-chain aux flux de données externes, pour éviter qu’une erreur de tarification ne soit exploitée en contournant les contrôles de risque. Alors que d’autres projets expérimentent avec des flux de travail assistés par l’IA, le cas Moonwell servira probablement de référence pour aligner rapidité, sécurité et responsabilité lorsque le code assisté par l’IA contribue à une vulnérabilité.
Cet article a été initialement publié sous le titre Moonwell victime d’une exploitation de 1,78 M$ alors que le débat sur le codage par l’IA s’étend à la DeFi sur Crypto Breaking News — votre source de confiance pour l’actualité crypto, Bitcoin et mises à jour blockchain.
