- Le dernier faux FLOW récupéré auprès de Binance et HTX ; les tokens sont désormais isolés on-chain.
- Flow révoquera l'accès du conseil d'urgence le 13 janvier 2026, mettant fin aux pouvoirs de récupération.
- La destruction des faux FLOW est prévue pour le 30 janvier 2026, après examen de l’exposition.
Flow Network a annoncé que la récupération finale des faux FLOW restants a été achevée auprès des plateformes d’échange centralisées. La récupération comprenait Binance et HTX, clôturant ainsi la dernière étape opérationnelle de son Plan de Récupération Isolée. Le Conseil de Gouvernance Communautaire a exécuté la récupération. Tous les faux FLOW tracés sont désormais isolés on-chain. La destruction définitive est prévue pour le 30 janvier 2026.
Une publication sur X du projet a confirmé la conclusion de la phase 4 du Plan de Récupération Isolée. Les participants du réseau des validateurs ont ratifié le mandat par consensus de super-majorité. Les partenaires en criminalistique ont été cités comme source pour la traçabilité et la confirmation de l’ensemble des tokens contrefaits.
Accès d’Urgence le 13 janvier alors que l’incinération des tokens approche
Ensuite, la Fondation supprimera l’accès renforcé utilisé durant le processus de récupération. Le 13 janvier 2026 a été programmé pour la révocation des permissions temporaires détenues par le Conseil de Gouvernance Communautaire. Flow a décrit cet accès comme une mesure d’urgence déployée pour la première fois en cinq ans d’histoire du réseau.
Les contrôles de gouvernance ont été mis en avant comme une partie de la réponse. L’entreprise a indiqué que chaque pouvoir accordé au Conseil de Gouvernance et chaque action entreprise est transparente et vérifiable on-chain. L’approbation de la majorité des validateurs du réseau est requise pour que les mises à jour logicielles des nœuds puissent avoir lieu.
La destruction des tokens reste l’étape finale pour retirer l’offre contrefaite du système. La Fondation a programmé l’incinération des tokens contrefaits pour le 30 janvier 2026. Des avocats externes et des partenaires spécialisés en criminalistique coordonnent avec les plateformes pour évaluer l’exposition potentielle des utilisateurs. La plateforme a déclaré qu’elle coopérera avec les partenaires d’échange pour rétablir pleinement les dépôts et retraits sur l’ensemble des plateformes de trading.
La restauration du service a déjà repris sur plusieurs plateformes. Coinbase, Kraken et Gate ont rouvert les dépôts et retraits, selon Flow. La Fondation a déclaré que l’objectif est un retour complet à la normale partout où FLOW est échangé.
À lire aussi : Bitfarms quitte l’Amérique latine pour financer le développement de l’IA en Amérique du Nord
L’incident a débuté le 27 décembre 2025, selon la chronologie de la Fondation. La plateforme a indiqué qu’un attaquant a exploité une vulnérabilité du réseau Flow pour contrefaire des tokens et extraire environ 3,9 millions de dollars via des bridges. Aucun solde utilisateur existant n’a été accédé ou compromis.
Exploitation de Cadence
Les mesures de confinement ont réduit la capacité à liquider les tokens contrefaits. Flow Network a indiqué que la majorité des actifs contrefaits ont été isolés on-chain ou gelés par les partenaires d’échange avant la liquidation.
Les validateurs ont ratifié une action de gouvernance décentralisée autorisant la destruction définitive de 100% des actifs contrefaits. Les opérations du réseau ont repris le 29 décembre 2025 et se sont poursuivies avec l’historique complet des transactions conservé.
Les détails techniques qualifient l’exploitation de hautement coordonnée. L’attaquant a déployé plus de 40 smart contracts malveillants dans une séquence conçue pour contourner les protections à l’exécution. Le réseau Flow a indiqué que l’exploitation reposait sur une chaîne d’attaque en trois étapes. Chaque étape a affaibli les protections qui préviennent normalement la duplication des actifs protégés.
D’abord, l’attaquant a contourné la validation d’importation des attachements, selon le rapport de Flow. Ensuite, les vérifications défensives sur les types intégrés ont été évitées pour contourner les règles d’application. Enfin, les sémantiques d’initialisation du contrat ont été exploitées pour finaliser la contrefaçon de FLOW.
L’analyse des causes profondes a identifié une vulnérabilité dans le runtime Cadence v1.8.8. Le problème a été corrigé dans la version v1.8.9 et ultérieures. La faille permettait de déguiser un actif protégé et non copiable en une structure de données standard pouvant être copiée.
La coordination avec les plateformes d’échange est devenue centrale dans la remédiation. Après avoir transféré les actifs hors du réseau, l’attaquant a tenté de déposer des faux FLOW sur plusieurs plateformes centralisées. Des dépôts anormalement importants ont déclenché des gels via les protocoles internes de lutte contre le blanchiment d’argent.
La plateforme a indiqué qu’environ 50% des dépôts contrefaits ont été retournés par les partenaires d’échange et détruits. OKX, Gate et MEXC ont été cités comme plateformes coopératives à cette étape. La coordination continue avec les plateformes restantes a permis la récupération finale, y compris auprès de Binance et HTX, selon la Fondation.
