Sui a gelé 162 M$ volés à un hacker — sécurité ou centralisation ?

223 millions de dollars volés en quelques minutes. 162 millions gelés par les validateurs avant qu'ils ne quittent le réseau. Un vote d'urgence où 90,9 % du stake a dit "oui" au retour des fonds. Sui a fait ce qu'aucune blockchain n'avait fait auparavant : les validateurs ont bloqué les adresses de l'attaquant directement on-chain et ont annulé les dommages. Est-ce le modèle de sécurité du futur — ou la preuve que Sui n'est pas aussi décentralisé qu'il le prétend ?

Cet article analyse les trois exploits subis par l'écosystème DeFi de Sui entre 2025 et 2026, pourquoi le hack de Cetus a ouvert un débat sur les limites de la décentralisation, et ce qu'un investisseur devrait savoir avant de déposer des capitaux sur un réseau où les validateurs peuvent geler vos fonds.

Qu'est-ce que Sui et pourquoi son architecture est-elle importante pour la sécurité ?

Sui est une blockchain de couche 1 (L1 — le réseau de base, comme Ethereum ou Solana) créée par Mysten Labs, fondée par d'anciens ingénieurs de Meta qui ont travaillé sur le projet Diem. Sa différence technique fondamentale est le langage Move, conçu spécifiquement pour traiter les actifs numériques comme des "objets" avec des règles de propriété strictes vérifiées avant d'exécuter toute transaction.

En pratique, Move élimine par conception les attaques de réentrance (reentrancy — lorsqu'un contrat malveillant en appelle un autre de manière répétée avant que la première opération ne se termine) qui ont causé des milliards de pertes sur Ethereum. Il n'est pas possible de dupliquer accidentellement des actifs ou d'effectuer des appels dynamiques pendant l'exécution d'un contrat. C'est une réelle amélioration de la sécurité au niveau du langage.

Mais la sécurité du langage ne protège pas contre les erreurs dans la logique financière des protocoles construits au-dessus — comme l'a démontré le plus grand hack de l'histoire de Sui.

Que s'est-il passé avec Cetus et pourquoi est-ce important au-delà de Sui ?

Le 22 mai 2025, Cetus Protocol — le plus grand DEX (exchange décentralisé) à liquidité concentrée de Sui — a été exploité pour 223 millions de dollars. Ce n'était pas une défaillance du langage Move ni du réseau Sui. C'était une erreur mathématique dans une bibliothèque tierce appelée integer-mate, utilisée pour les calculs de précision.

L'attaquant a trouvé une faille dans la fonction checked_shlw (décalage de bits vers la gauche) qui ne validait pas correctement les conditions de débordement. Avec des paramètres extrêmes et un prêt flash (flash loan — prêt demandé et remboursé dans la même transaction), il a injecté de faux tokens dans des pools de liquidité, a artificiellement gonflé sa position et a drainé des actifs réels (SUI et USDC) des pools.

La leçon technique : même en Move — conçu pour prévenir les erreurs de bas niveau — la sécurité d'un protocole DeFi dépend de chaque bibliothèque externe. Une fonction d'arrondi défectueuse a annulé toutes les garanties du langage. KelpDAO a subi le même schéma en avril 2026 : la faille ne provenait pas du protocole core mais de l'infrastructure périphérique.

Les validateurs de Sui ont-ils "hacké le hacker" — et est-ce une bonne ou une mauvaise chose ?

C'est là le vrai débat. Lorsque les validateurs ont détecté l'exploit, ils ont coordonné une action d'urgence : ils ont bloqué les adresses de l'attaquant on-chain avant qu'il ne puisse déplacer la plupart des fonds hors de Sui. 162 millions ont été gelés. Les ~63 millions restants se sont échappés vers Ethereum via des bridges avant l'intervention.

Trois jours plus tard, le 29 mai, Sui a exécuté un vote on-chain pour décider de restituer les fonds gelés aux victimes. 90,9 % du stake a voté oui. Les fonds ont été transférés vers un multisig contrôlé par Cetus, la Fondation Sui et OtterSec (auditeur). Cetus a complété avec sa trésorerie (7 M$) et un prêt de 30 M$ de la Fondation Sui pour compenser à 100 % les victimes.

L'argument en faveur : 162 millions récupérés. Victimes compensées à 100 %. Réponse en jours, pas en mois. Sur Ethereum, Lazarus a blanchi 577 M$ sans que personne ne puisse rien geler. Sur Sui, le réseau a agi.

L'argument contre : si les validateurs peuvent geler les adresses d'un hacker, ils peuvent aussi geler les vôtres. L'action a été coordonnée par la Fondation Sui — et non par une DAO décentralisée avec un processus formel. Qui décide quand le gel est légitime et quand il s'agit de censure ? Que se passe-t-il lorsqu'un gouvernement demande la même action contre un dissident au lieu d'un hacker ?

La comparaison avec le débat général sur la centralisation en DeFi est directe :

Sui a un Nakamoto de 20 — plus décentralisé que BNB Chain (5) ou Polygon (4), comparable à Solana (21), mais bien en dessous de Polkadot (92). Les 117 validateurs sont suffisants pour coordonner un gel d'urgence en quelques heures. Ethereum, avec un million de validateurs, n'a pas de mécanisme équivalent — ce qui protège contre la censure mais laisse les victimes de hacks sans recours on-chain. Il n'y a pas de bonne réponse : c'est un compromis entre sécurité récupérable et résistance à la censure.

Un détail qui amplifie le débat : la Fondation Sui contrôle une partie significative du supply de SUI. Les critiques soulignent que les fondateurs contrôlent un pourcentage élevé du supply total (y compris les tokens bloqués), ce qui leur confère une influence disproportionnée sur la gouvernance. La Fondation a répondu que son objectif est de distribuer progressivement la délégation — mais le pouvoir actuel est indéniable.

Quels autres exploits Sui a-t-il subis en 2026 ?

Cetus n'était pas un incident isolé. L'écosystème DeFi de Sui a subi trois exploits supplémentaires, chacun avec un schéma différent :

Les schémas révèlent une évolution : Cetus était une erreur mathématique dans une bibliothèque (sophistiquée). Nemo était une gouvernance faible — code déployé sans audit avec une seule signature d'autorisation. Volo était une clé privée compromise (le vecteur le plus basique et le plus difficile à prévenir). Scallop était un flash loan dans un contrat périphérique.

La tendance positive : aucun des exploits postérieurs à Cetus n'a compromis le core de Sui ni le langage Move. La surface d'attaque s'est déplacée vers la couche d'application — clés d'administration, contrats périphériques, bibliothèques externes. La négative : 229 M$ de pertes totales pour un écosystème de 1 600 M$ de TVL représente un ratio de perte de 14 % — significativement pire que la moyenne de l'industrie.

Move est-il vraiment plus sûr que Solidity ?

Move élimine des catégories entières de vulnérabilités qui ont coûté des milliards sur Ethereum. La réentrance — responsable de hacks comme celui de The DAO (60 M$, 2016) ou Euler (197 M$, 2023) — est impossible par conception en Move. Mais la sécurité du langage n'empêche pas les erreurs dans la logique financière, dans les bibliothèques externes ni dans la gestion des clés.

Le vérificateur de bytecode de Sui — qui analyse tout le code avant de l'exécuter — est si critique que le programme de bug bounty classe tout contournement comme une sévérité maximale (récompense allant jusqu'à 1 M$). Et des outils comme Belobog (un fuzzer spécifique à Move) ont détecté rétroactivement 100 % des vulnérabilités de Cetus et Nemo lors de tests sur 109 projets réels.

Sui est-il sûr pour déposer des capitaux en DeFi ?

Cela dépend de la couche et de la signification que vous donnez à "sûr" :

La capacité des validateurs à geler les fonds est une arme à double tranchant : elle a sauvé 162 M$ dans Cetus, mais cela signifie que votre capital n'est pas à l'abri d'une intervention. Si vous valorisez la résistance à la censure par-dessus tout, Sui n'est pas votre réseau. Si vous valorisez la capacité de récupération après des hacks, Sui a démontré que cela fonctionne.

Sui continue-t-il de croître malgré les hacks ?

Oui — et c'est le plus révélateur. Après le hack de Cetus (223 M$ en mai 2025), le TVL de Sui a brièvement chuté mais s'est rétabli en quelques semaines. Des protocoles comme NAVI ont rouvert avec des APY de 25 % pour attirer la liquidité. En mars 2026, Sui a lancé USDsui — sa stablecoin native pour les paiements et la DeFi. Flare et Xaman ont intégré l'accès DeFi pour plus de 2 milliards de XRP tokenisés en tant que FXRP. Et Sui a investi 10 M$ dans un programme de sécurité après le hack de Cetus.

Les chiffres actuels montrent un écosystème qui croît avec des cicatrices :

Le ratio pertes/TVL de 14,3 % est élevé par rapport à la moyenne de l'industrie. Mais la capacité de récupérer 162 M$ sur les 223 M$ volés (73 %) est sans précédent — aucun autre réseau n'a réalisé quelque chose de comparable. La question pour l'investisseur n'est pas de savoir si Sui est sûr en soi — c'est de savoir si la combinaison de Move + validateurs avec pouvoir de gel + écosystème jeune compense le risque par rapport à des alternatives plus matures comme Ethereum ou Solana.

Que devrait vérifier un investisseur avant d'utiliser DeFi sur Sui ?

1. Le protocole utilise-t-il un multisig pour les mises à jour ? Nemo a été exploité parce qu'une seule signature pouvait déployer du code. Volo a été drainé par une clé admin compromise. Si le protocole n'utilise pas de multisig, votre capital dépend d'une seule personne.
2. Les bibliothèques externes sont-elles auditées ? Cetus a utilisé une bibliothèque tierce (integer-mate) avec une erreur d'overflow. Les audits du contrat principal ne couvrent pas les dépendances — demandez si elles les couvrent.
3. Le contrat est-il immuable ou actualisable ? Les paquets Move sur Sui sont immuables une fois publiés — mais les protocoles peuvent utiliser des schémas de proxy ou de migration. Vérifiez si le protocole peut modifier la logique après le déploiement.
4. Quelle proportion du TVL se trouve dans le protocole par rapport au réseau ? Si un seul protocole concentre plus de 30 % du TVL de Sui, un exploit dans ce protocole est un événement systémique pour l'ensemble du réseau — comme Cetus l'a démontré.
5. Êtes-vous à l'aise avec la gouvernance de Sui ? Les validateurs peuvent geler les adresses. La Fondation Sui a une influence significative. C'est plus "sûr" qu'Ethereum en cas de hack — mais moins résistant à la censure.

Le plus honnête que l'on puisse dire : Sui a une architecture de sécurité supérieure au niveau du langage (Move > Solidity pour la prévention des vulnérabilités de bas niveau), une capacité de réponse aux hacks sans précédent (162 M$ récupérés), et un écosystème DeFi jeune qui commet encore des erreurs de gouvernance et de gestion des clés. Le réseau est solide. Les protocoles qui se construisent dessus, pas toujours. Et la capacité des validateurs à intervenir est une caractéristique qui peut être une vertu ou un défaut — selon que vous êtes du côté de la victime ou du censuré.