Revue de l'incident : une baleine contre tout le trésor de Hyperliquid, comment 4 millions de dollars ont disparu ?

Auteur :Three Sigma

Traduction : TechFlow

Un trader contre le trésor HLP de Hyperliquid.

Une perte de 4 millions de dollars.

Pas de faille, pas d'attaque, seulement la confrontation brutale des mécanismes de liquidité.

Voici ce qui s'est passé :

Qu'est-ce qui s'est produit ?

Un trader a utilisé un effet de levier élevé pour transformer 10 millions de USDC en une position longue de 271 millions de dollars en ETH, puis a retiré son collatéral, forçant ainsi HLP (Hyperliquid Liquidity Provider, fournisseur de liquidités) à reprendre cette position.

Le trader a finalement empoché 1,8 million de dollars, tandis que l'HLP a subi une perte de 4 millions de dollars.

Voyons maintenant les étapes précises de l'opération.

Première étape : la préparation

Si vous effectuez une transaction à grande échelle, vous faites face à un problème : comment sortir de votre position sans impacter le marché et nuire à vos propres intérêts ?

Vendre au prix du marché = glissement (slippage) = détruire sa propre transaction.

Ce trader a trouvé un moyen de liquider complètement sa position sans en supporter lui-même les pertes.

Deuxième étape : le retrait stratégique

Au lieu de vendre son ETH via le carnet d'ordres, le trader a retiré son collatéral et abaissé sa marge afin de forcer Hyperliquid à liquider sa position.

L’HLP — le fonds de liquidité du protocole — a alors repris la position longue de 286 millions de dollars en ETH, s’exposant ainsi au risque.

Troisième étape : la couverture à la perfection

Le trader savait que la vente forcée par l’HLP ferait baisser le prix de l’ETH. Il a donc mis en place une stratégie bidirectionnelle.

En se couvrant sur une autre bourse (comme Binance), il a transféré le risque haussier à l’HLP tout en profitant d’une position baissière.

Il ne s’agit pas d’un accident, mais bien d’une opération soigneusement planifiée.

S’agit-il d’un abus de système ?

Hyperliquid affirme que non, car contrairement au GLP, l’HLP n’est pas obligé d’accepter les ordres, et d’autres market makers ont également participé à la liquidation.

L’HLP a « simplement » perdu 4 millions de dollars, soit environ un mois de bénéfices, mais cela n’a pas compromis le système. Le fonds reste globalement rentable.

Pourquoi l’HLP a-t-il perdu 4 millions de dollars ?

L’HLP n’est pas un seul fonds, mais est divisé en trois parties :

1️⃣ Les liquidateurs HLP — achètent les positions liquidées

2️⃣ Stratégie A de l’HLP — une position baissière de 145 millions de dollars en ETH

3️⃣ Stratégie B de l’HLP — une position baissière de 145 millions de dollars en ETH

Dans l’interface utilisateur, vous ne voyez que la position nette.

Lorsqu’une grosse position est liquidée :

Les liquidateurs HLP se retrouvent avec une position longue de 290 millions de dollars en ETH

Les stratégies A et B interviennent pour couvrir avec des positions courtes

Mais elles n’ont pas pu parfaitement correspondre aux prix d’entrée, ce qui a entraîné une perte de 4 millions de dollars due au slippage.

Il ne s’agit pas d’une perte mutualisée, mais d’un glissement résultant de l’exécution.

Hyperliquid n’est pas la première cible

En juin 2023, un attaquant avait manipulé le prix du SNX sur une bourse centralisée (CEX) pour tirer un profit de 37 000 dollars en USDC de l’HLP.

L’HLP a dû ajuster rapidement son modèle de tarification pour se prémunir contre de futures attaques.

Cela peut-il se reproduire ?

Hyperliquid a déjà pris les mesures suivantes :

Le levier maximal a été réduit à 40x (BTC) et 25x (ETH)

Exigences de marge accrues pour les grosses positions

Davantage d’ajustements de risque HLP à venir

La véritable question est : lorsque les traders les plus habiles devancent toujours le système, le protocole doit-il continuer à compter sur ses mécanismes de liquidation ?

Conclusion finale : les règles sont primordiales

Il ne s’agit pas d’une faille dans le code, mais bel et bien d’une faille dans le mécanisme.

Les traders n’attaquent pas directement les contrats intelligents, mais exploitent les lacunes réglementaires pour causer des dommages au protocole.