Contrats substitués : comment un faux clone d’un protocole DeFi connu a détourné 10,8 millions de dollars (Compounder Finance)

Compounder Finance se présentait comme un clone de protocoles DeFi déjà éprouvés et réputés fiables : Compound, Harvest et Yearn. Les développeurs ont d’abord déployé des contrats audités, gagnant ainsi la confiance des utilisateurs, puis les ont discrètement remplacés par des versions secrètement malveillantes et ont siphonné 10,8 millions de dollars appartenant aux utilisateurs. L’affaire est devenue l’une des démonstrations les plus frappantes du fait que même un audit réussi ne garantit pas la sécurité d’un smart contract sur le long terme.

Le projet a été lancé le 9 novembre 2020 et se présentait comme un agrégateur de rendement sur le modèle de protocoles déjà connus et réputés fiables : Compound, Harvest Finance et Yearn Finance. La plateforme reposait sur des contrats dits « Strategy », qui avaient fait l’objet d’un audit par Solidity Finance, un argument mis en avant publiquement comme preuve de la sécurité de la plateforme et qui incitait les utilisateurs à déposer des fonds.

Le code contenait toutefois une fonction protégée par un timelock (verrou temporel) public de 24 heures, que personne ne surveillait en pratique, et qui permettait aux développeurs de remplacer à tout moment les contrats Strategy légitimes et audités par des versions malveillantes « Evil Strategy », capables de siphonner les fonds déposés par les utilisateurs. L’auditeur, Solidity Finance, avait repéré dès la mi-novembre cette fonction de timelock suspecte et l’avait signalée à l’équipe de développement, mais aucune mesure corrective n’a été prise.

Le 1er décembre 2020, environ trois semaines après le lancement, une fois qu’un montant suffisant de fonds s’était accumulé sur la plateforme, les développeurs ont activé la substitution des contrats et redirigé les dépôts des utilisateurs vers leurs propres portefeuilles : environ 750 000 dollars en wrapped bitcoin, 4,8 millions de dollars en ether, 5 millions de dollars en dai et des montants plus faibles en d’autres jetons, soit 10,8 millions de dollars au total. Le jeton du projet, le CP3R, s’est effondré d’environ 98,8 % le jour même.

Les développeurs ont disparu dans l’anonymat ; aucun membre de l’équipe n’a jamais été identifié, aucune procédure pénale n’a été ouverte et aucune restitution de fonds aux utilisateurs n’a été constatée.

Publié le 24 juin 2026