Exploit de portefeuille Solana : 5,8 M$ drainés, implications AML et comptables
Un exploit coordonné ciblant un logiciel de portefeuille Solana a drainé plus de 5,8 millions de dollars de 7 947 portefeuilles avant que l'attaque ne soit officiellement documentée. L'incident a commencé le 2 août 2026, a impliqué du SOL, plus de 300 jetons basés sur Solana et un petit nombre de NFT, et a été attribué à quatre adresses contrôlées par l'attaquant, toutes financées à partir d'un seul compte d'origine. Pour les cabinets comptables, les auditeurs et les directeurs financiers ayant une exposition à Solana, ce n'est pas seulement un titre de cybersécurité. Cela déclenche des obligations réelles : vérification AML des fonds entrants, évaluations potentielles de dépréciation, considérations de divulgation et un examen approfondi de l'adéquation des contrôles existants dans votre pile logicielle de comptabilité crypto.
Ce qui s'est passé : les faits essentiels
L'exploit ne provient pas d'une vulnérabilité du protocole Solana lui-même. Selon la société de renseignement sur la blockchain Elliptic, la cause racine semble être une faille dans certains logiciels de portefeuille compatibles Solana. Cette distinction a de l'importance tant sur le plan technique que juridique. Cela signifie que la surface d'attaque se situait au niveau de la couche applicative, et non au niveau du mécanisme de consensus de la couche de base, ce qui influence la manière dont les parties concernées formulent toute réclamation d'assurance ou tout argument de recouvrement juridique.
Échelle et composition des actifs
Le montant de 5,8 millions de dollars couvre le SOL (le jeton natif), plus de 300 jetons distincts basés sur Solana et un petit volume de NFT de faible valeur. Près de 8 000 portefeuilles ont été touchés. Étant donné que le portefeuille volé comprend des jetons fongibles et des actifs non fongibles répartis sur un grand nombre d'adresses, toute mission de comptabilité ou d'audit concernant les avoirs Solana au cours de cette période devra traiter un mélange hétérogène d'actifs plutôt qu'un seul type de pièce.
Attribution : un seul acteur de la menace
Les quatre adresses utilisées pour exécuter l'exploit ont été financées par le même compte en amont. L'analyse du renseignement sur la blockchain indique un opérateur unique plutôt qu'un groupe coordonné. Ce type de traçabilité de la chaîne de financement est précisément ce que l'analyse en chaîne est conçue pour révéler, et c'est également ce que tout logiciel de comptabilité crypto conforme ou tout flux de travail de surveillance des transactions devrait être capable de signaler au point de réception.
Obligations AML et de vérification
Les fournisseurs de renseignements sur la blockchain ont étiqueté les adresses des exploiteurs et les ont mises à disposition pour vérification. Cela signifie que toute entité réglementée traitant des transactions Solana pendant ou après la fenêtre d'attaque dispose d'un mécanisme pratique pour vérifier son exposition. Cela signifie également que le fait de ne pas effectuer ces vérifications devient de plus en plus difficile à défendre.
Qui doit vérifier et quand
L'obligation de vérification est la plus large pour les prestataires de services d'actifs virtuels (PSAV), les bourses et les dépositaires opérant dans le cadre de cadres alignés sur le GAFI. Mais elle s'étend plus loin. Les cabinets comptables fournissant des services de tenue de livres ou de trésorerie externalisée pour des clients détenant des actifs Solana, les directeurs financiers d'entreprises ayant reçu des paiements en SOL au cours de la fenêtre de l'exploit et les auditeurs approuvant les soldes d'actifs numériques doivent tous déterminer si des fonds contaminés sont entrés dans l'espace d'adresses de leur client ou de leur employeur.
Le point de départ est la vérification au niveau des adresses par rapport aux adresses publiées des exploiteurs. Si une transaction entrante remonte, directement ou en quelques sauts, à ces adresses, l'entité réceptrice est confrontée à une exposition potentielle au produit d'un crime. Dans la plupart des cadres AML mondiaux, l'obligation de déposer un rapport d'activité suspecte (SAR) ou un équivalent est déclenchée par des motifs raisonnables de soupçon, et non par une certitude. Une connexion à courte distance avec une adresse d'exploiteur signalée atteint généralement ce seuil.
Pour un aperçu plus large de la manière dont l'analyse en chaîne remodèle ces enquêtes, voir notre couverture de comment l'analyse de la blockchain remodèle les enquêtes AML.
Les quatre adresses de l'exploiteur
Le fait que les quatre adresses de l'attaquant aient été financées à partir d'un seul compte source simplifie quelque peu la tâche de traçage. Les enquêteurs et les équipes de conformité peuvent se concentrer sur un cluster étroitement connecté plutôt que sur un réseau diffus. Cela dit, les exploiteurs utilisent couramment des mélangeurs, font des sauts de chaîne vers d'autres protocoles, ou transfèrent des actifs vers des chaînes compatibles EVM pour obscurcir la piste, de sorte que la vérification ne doit pas se limiter aux seules adresses Solana connues. Toute conversion en aval ou équivalent ponté mérite une attention égale.
Traitement comptable pour les entités concernées
Les implications comptables diffèrent selon que votre entreprise ou votre client est victime de l'exploit, bénéficiaire en aval de fonds contaminés, ou ni l'un ni l'autre mais détient toujours des actifs basés sur Solana.
Dépréciation et dépréciation pour les victimes
Tant sous US GAAP (ASC 350-60, le modèle de juste valeur du FASB pour les actifs cryptographiques adopté pour les exercices commençant après le 15 décembre 2024) que sous IFRS (IAS 38 ou IAS 2, selon la classification), les actifs qui ont été volés ne sont plus contrôlés par l'entité. Le contrôle est un critère de comptabilisation fondamental. Une fois qu'un exploit est confirmé, l'entité ne peut plus comptabiliser ces actifs à son bilan. La date de décomptabilisation est la date à laquelle le contrôle a été perdu, qui dans ce cas est la date de l'attaque, le 2 août 2026, et non la date à laquelle l'entreprise en a eu connaissance.
La perte est comptabilisée au compte de résultat. Sous GAAP, selon la politique comptable choisie par l'entité, cela peut être comptabilisé dans les charges d'exploitation ou autres. Sous IFRS, IAS 38 exige la décomptabilisation d'une immobilisation incorporelle lorsque aucun avantage économique futur n'est attendu, avec le gain ou la perte en résultant comptabilisé en résultat. Les entreprises devraient éviter la tentation de placer le montant volé dans une créance sans preuves claires de perspectives de recouvrement, car cette approche est difficile à justifier lors d'un audit.
NFT : une décomptabilisation plus complexe
Les NFT inclus dans l'exploit ajoutent une couche de complexité. Les NFT ne sont pas homogènes et leurs valeurs comptables dépendent de la manière dont ils ont été initialement comptabilisés. S'ils sont détenus comme des stocks (pour les entreprises de trading de NFT), ils relèvent de l'IAS 2 ou de l'ASC 330. S'ils sont détenus comme des immobilisations incorporelles à durée de vie indéterminée, ils suivent l'ASC 350 ou l'IAS 38. Dans les deux cas, une fois volés, ils doivent être radiés. Le défi consiste à établir le montant de la valeur comptable pour les articles de faible valeur où les registres de coûts historiques peuvent être minces, ce qui est un argument fort pour maintenir des registres granulaires des transactions dans un environnement logiciel de comptabilité d'actifs numériques robuste dès le premier jour.
Bénéficiaires en aval et risque d'actifs contaminés
Pour les entités qui ont reçu du SOL ou des jetons basés sur Solana pendant la fenêtre de l'exploit sans savoir que les fonds avaient été volés, la position comptable est plus nuancée. La comptabilisation initiale à la juste valeur à la date de la transaction est correcte si l'entité n'avait pas connaissance de la contamination. Cependant, une fois la contamination identifiée, une provision ou un passif éventuel peut être nécessaire si les régulateurs ou les forces de l'ordre peuvent contraindre à la restitution. Ce n'est pas un domaine de pratique établi, et les entreprises devraient documenter leurs étapes de vérification et le moment où elles ont eu connaissance.
Contrôles opérationnels : ce que les entreprises devraient vérifier maintenant
Cet incident met en évidence plusieurs lacunes de contrôle que les cabinets comptables et les directeurs financiers devraient examiner immédiatement, qu'ils détiennent ou non du Solana directement.
Due diligence sur les logiciels de portefeuille
L'exploit était enraciné dans le logiciel de portefeuille, pas dans la chaîne. Les entreprises qui s'appuient sur des applications de portefeuille tierces pour la gestion de trésorerie ou la garde d'actifs clients devraient confirmer qu'elles exécutent les dernières versions corrigées. Tout portefeuille identifié comme vulnérable dans les divulgations post-incident devrait être traité comme compromis jusqu'à ce qu'un certificat de bonne santé soit émis par le fournisseur de logiciel.
Couverture de la surveillance des transactions
Toutes les intégrations de logiciels de comptabilité crypto n'incluent pas une surveillance des transactions en temps réel ou quasi réel avec capacité d'analyse de contamination. Les entreprises devraient vérifier que leurs outils couvrent les actifs natifs de Solana, y compris les jetons SPL et les NFT, et pas seulement les principales chaînes EVM. Les lacunes de couverture au niveau du type d'actif sont une faiblesse connue que cet incident rend plus difficile à ignorer.
Les entreprises qui ont déjà réfléchi à leur posture de réponse aux incidents trouveront une structure utile dans notre article sur la planification de la réponse aux ransomwares pour les entreprises détenant des crypto-actifs, qui présente un cadre en quatre étapes comparable applicable aux événements de vol.
Procédures d'audit de portefeuille des clients
Les auditeurs ayant des clients détenant des actifs basés sur Solana devraient ajouter une étape spécifique à leur programme d'audit des actifs numériques : confirmer que les adresses de portefeuille du client ne figurent pas parmi les 7 947 portefeuilles concernés et confirmer qu'aucune transaction entrante pendant la fenêtre de l'exploit n'a été initiée à partir du cluster d'attaquants étiqueté. Les deux étapes sont réalisables avec les données au niveau des adresses désormais disponibles publiquement. Leur documentation dans le dossier d'audit démontre également que l'entreprise a envisagé le risque, ce qui est important si l'affaire devient ultérieurement un point d'examen réglementaire.
Contexte de risque plus large
Les exploits au niveau des portefeuilles ne sont pas nouveaux, mais l'ampleur ici, près de 8 000 portefeuilles et une rafle multi-actifs couvrant des jetons fongibles et des NFT, reflète la valeur qui se trouve maintenant en dehors des environnements d'échange dépositaires majeurs et dans des portefeuilles en libre garde ou de couche applicative. Pour les équipes comptables et de conformité, cette tendance crée un défi direct : plus les actifs sont éloignés des dépositaires centralisés avec des programmes AML établis, plus l'obligation de vérifier et de surveiller incombe à l'entité suivante dans la chaîne de transactions.
Les régulateurs au Royaume-Uni, dans l'UE et dans plusieurs juridictions APAC ont signalé, soit par des orientations soit par des actions d'exécution, que « nous ne savions pas que les fonds étaient contaminés » n'est pas une défense complète lorsque des outils de vérification étaient disponibles et n'ont pas été utilisés. L'étiquetage de ces adresses d'exploiteurs signifie que cette défense est désormais particulièrement mince pour toute entité traitant des transactions Solana à l'avenir.
L'incident renforce également l'argument opérationnel en faveur du maintien d'une séparation entre l'infrastructure de portefeuille et les systèmes de tenue de livres, avec une connectivité appropriée au niveau de l'API entre les deux plutôt qu'un rapprochement manuel. Les processus manuels sont là où la détection de fonds contaminés échoue, car aucun humain ne vérifie chaque transaction entrante contre une liste de surveillance mise à jour en temps réel. C'est exactement ce que les logiciels intégrés de comptabilité d'actifs numériques avec un flux de vérification en direct sont conçus pour faire.
Source : Elliptic
Questions fréquemment posées
Cet exploit affecte-t-il la blockchain Solana elle-même ?
Non. L'analyse actuelle indique que la vulnérabilité se situait dans certains logiciels de portefeuille Solana, pas dans le protocole Solana ou son mécanisme de consensus. La blockchain elle-même a continué à fonctionner normalement. Cette distinction est importante pour la manière dont les entités concernées formulent toute réclamation ou divulgation.
Comment une entreprise doit-elle comptabiliser les actifs Solana volés lors de l'exploit ?
Les actifs sur lesquels le contrôle a été perdu doivent être décomptabilisés à la date de perte de contrôle, c'est-à-dire la date de l'attaque. La valeur comptable est passée en perte au compte de résultat. La comptabilisation des actifs volés en tant que créance n'est défendable que s'il existe des preuves concrètes de perspectives de recouvrement, comme des procédures actives de recouvrement d'avoirs par les forces de l'ordre.
Quelle est l'obligation AML pour les entités qui ont reçu du SOL pendant la fenêtre de l'exploit ?
Toute entité qui a reçu du SOL ou des jetons basés sur Solana pendant ou peu après la fenêtre de l'exploit devrait vérifier ces transactions entrantes par rapport aux adresses publiées des exploiteurs. Si une connexion à courte distance est trouvée, l'entité devrait évaluer si un rapport d'activité suspecte est requis en vertu des règles de sa juridiction locale. Documenter les étapes de vérification effectuées est essentiel, quel que soit le résultat.
Les NFT pris dans l'exploit sont-ils traités différemment dans les comptes ?
Oui, dans une certaine mesure. Les NFT ne sont pas homogènes et leur classification comptable (stocks ou immobilisation incorporelle) affecte la norme qui régit leur décomptabilisation. Dans tous les cas, les NFT volés doivent être radiés. Le défi consiste à établir la valeur comptable des articles de faible valeur lorsque les registres de coûts historiques sont incomplets, d'où l'importance d'une tenue de registres granulaire au niveau des transactions dès le départ.
Que doivent faire les auditeurs si un client détient des actifs Solana ?
Les auditeurs devraient ajouter deux étapes spécifiques au programme d'audit des actifs numériques : confirmer que les adresses Solana du client ne figurent pas parmi les 7 947 portefeuilles concernés et confirmer qu'aucune transaction entrante pendant la fenêtre de l'exploit ne remonte au cluster d'attaquants signalé. Les deux étapes sont réalisables avec les données au niveau des adresses désormais disponibles et devraient être documentées dans le dossier d'audit.