BounceBit ferme sa blockchain et efface 4 292 transactions confirmées. MANTRA, tombée le même jour sur la même pile Cosmos EVM, a redémarré en trente heures.

Quand une équipe lance sa propre blockchain, elle achète de la souveraineté. Le droit d'écrire ses règles, de fixer ses tarifs, de choisir qui valide, et de ne dépendre d'aucun opérateur pour rester en marche. C'est l'argument de vente entier du modèle : ne plus être locataire de la plateforme de quelqu'un d'autre.

Ce qu'elle achète en pratique, c'est un assemblage. Personne ne réécrit un moteur d'exécution depuis zéro, c'est plusieurs années d'ingénierie et une surface d'erreur que personne ne veut porter seul. On importe donc les mêmes briques que les concurrents, on les épingle à une version dans un fichier de dépendances, et on lance. La souveraineté acquise porte sur la politique du réseau. Elle ne porte pas sur son code.

Deux réseaux qui ne partagent ni équipe, ni jeton, ni trésorerie, ni validateurs, ni clientèle partagent quand même leur probabilité de panne, parce qu'ils partagent leur fichier de dépendances. Le 20 août 2026, ce partage est passé de risque théorique à fait daté.

Ce que la souveraineté d'une chaîne ne couvre pas

Le composant en cause a trois noms et une seule histoire.

Il naît dans Evmos, la chaîne qui a la première fait tourner des contrats Ethereum à l'intérieur d'un moteur Cosmos. Son code est ensuite extrait de la chaîne pour devenir un cadre réutilisable, evmOS. Puis il change de main : le dépôt cosmos/evm est ouvert le 18 mars 2025, le jour même où le dépôt qui le précédait reçoit son dernier commit. Une lignée, trois étiquettes.

La branche d'origine, elle, s'est arrêtée là. Le dépôt Evmos n'a plus reçu de commit sur sa branche principale depuis le 20 janvier 2025, et la chaîne Evmos elle-même est aujourd'hui déclarée éteinte dans le registre officiel des chaînes Cosmos, ses points d'accès publics ne répondant plus. Sa fermeture est datée du printemps 2026 par la couverture presse, sans page officielle consultable pour la confirmer. BounceBit construisait donc, en août 2026, sur un cadre sans mainteneur depuis dix-neuf mois et sans réseau de référence en état de marche.

Le successeur vivant, lui, prospère. Son propre dépôt indique qu'il fait tourner Ondo, Mezo, MANTRA, une sidechain XRP, la chaîne applicative de Telegram et Stable, et le même fichier précise qu'il ne sera marqué stable qu'après audit, en version 1.0. Il en est à la version 0.7.2.

Vingt heures, deux chaînes, deux sorties opposées

BounceBit Chain a écrit son bloc 20 697 260 le 19 août à 21h02m35s UTC. Trois secondes plus tard, le bloc suivant contenait le premier transfert non autorisé. Selon le communiqué de BounceBit, relayé par la presse faute de page publique accessible au 22 août, quatorze transactions ont vidé neuf comptes du réseau de 286 543 148 jetons BB, en désignant des comptes tiers comme source des fonds sans leur accord. Le réseau a écrit son dernier bloc, le 20 702 857, le 20 août à 02h36m37s UTC. Il n'a pas produit un bloc depuis.

L'équipe ne corrigera pas. La chaîne ferme, et le jeton est refrappé sur BNB Chain à partir de l'état du bloc de 21h02. Tout ce qui a été écrit après disparaît : 5 597 blocs, et 4 292 transactions confirmées, dont quatorze seulement appartiennent à l'attaquant. Le décompte est de CDR, bloc par bloc, faute d'être publié nulle part.

Vingt heures et trente-six minutes après l'arrêt de BounceBit, MANTRA a gelé sa propre chaîne à son bloc 17 449 399, le 20 août à 23h13m04s UTC. La cause invoquée par MANTRA est le module Cosmos EVM, deux adresses touchées, toutes deux gérées par l'équipe, aucun fonds utilisateur affecté. Cette hauteur de bloc n'est pas un accident : c'est exactement celle à laquelle le réseau avait programmé sa mise à jour d'urgence. La chaîne s'est arrêtée là et a attendu que le binaire existe. Il a été publié le 21 août à 16h51 UTC. Le réseau a repris le 22 août à 03h38m07s UTC, après trente heures et dix-sept minutes d'arrêt total, sans réécrire son état.

Ce qui sépare les deux issues n'est ni la gravité, ni le montant. C'est l'état de l'amont. MANTRA avait encore un mainteneur à appeler.

Le correctif existait depuis le 15 mai

Le patch que MANTRA a embarqué pour redémarrer n'est pas neuf. C'est le report d'une correction fusionnée dans la branche principale du cadre amont le 15 mai 2026, qui durcit précisément la façon dont la comptabilité des soldes est mise à jour d'après ce que l'exécution déclare avoir fait.

Entre cette fusion et son arrivée dans les branches que les chaînes utilisent réellement en production, il s'est écoulé 96 jours. Quatre-vingt-dix-huit avant qu'un binaire de production ne la porte.

Le retard s'explique par un empilement dont personne ne parle. Une chaîne en production ne suit pas la branche principale d'un cadre, elle suit une branche de version stabilisée. Et elle ne suit pas la branche stabilisée du cadre, elle suit son propre fork de cette branche. Trois niveaux, trois délais qui s'additionnent, aucun visible de l'extérieur. La demande de fusion qui a rattrapé le retard chez MANTRA, le 21 août, porte un titre qui le dit sans détour : Problem: mantra/v0.6.x is outdated compare with release/v0.6.x. Le principe est le même que pour le vol de clés par une extension de développement en début de semaine : l'indicateur utile n'est pas l'objet, c'est sa provenance.

La version corrective du cadre a été publiée le 19 août à 23h01 UTC. Deux heures après le début de l'attaque sur BounceBit.

Reste le montant. La couverture parle d'un vol à trois millions de dollars, ce qui range l'affaire parmi les incidents mineurs. Les 286,5 millions de BB déplacés valent 2,94 millions de dollars au cours relevé le 22 août à 07h52 UTC, contre une capitalisation de 4,21 millions de dollars, calculée sur les 409,5 millions de BB en circulation. Soit 70 % de ce que vaut BB sur le marché.

Ce qui manque aux grilles de risque

Aucune notation de risque L1 courante n'aurait vu venir ces deux arrêts. Ni la capitalisation, ni le nombre de validateurs, ni la valeur bloquée, ni la qualité de la gouvernance. Les deux réseaux portaient à eux deux moins de 590 000 dollars de valeur bloquée, ce qui les rendait invisibles à toute grille pondérée par la taille.

La variable qui a tranché tient dans deux lignes publiques : la version du cadre épinglée dans le dépôt de la chaîne, et la date du dernier commit de celui qui maintient ce cadre. Elles se lisent en trente secondes, et elles ne figurent dans aucune méthodologie de notation publiée.

Deux lectures tiennent ensemble. En faveur du modèle, l'infrastructure partagée a fonctionné comme elle doit : une correction de défense en profondeur existait avant l'attaque, la version corrective est sortie pendant l'incident, et la chaîne qui a pu l'appliquer a redémarré sans perte utilisateur. Dix équipes bénéficient du travail d'une, c'est tout l'intérêt du commun.

À charge, le même commun distribue ses défauts aussi bien que ses correctifs, et rien n'oblige un locataire à se tenir à jour. Le cadre a reçu trois avis de sécurité critiques en quinze mois, dont un en mars 2026 qui a coûté environ sept millions de dollars au réseau Saga. Le quatrième correctif, celui du 19 août, a été publié sans identifiant, sans description et sans avis. Une chaîne qui ne l'a pas encore appliqué n'a aucun moyen de savoir ce à quoi elle est exposée.

C'est le même angle mort que celui déjà mesuré sur ce que rapporte réellement une blockchain de longue traîne : le coût de tenir un réseau à jour ne dépend pas de sa taille, alors que ses revenus, eux, en dépendent entièrement. Et il produit ici une conséquence que CDR avait posée à propos des rollbacks de chaîne, une semaine plus tôt : une transaction confirmée est censée être un fait acquis. Quatre mille deux cent soixante-dix-huit transactions parfaitement légitimes vont cesser d'en être un.

Questions fréquentes

Que devient un token quand sa blockchain ferme ?
Il ne disparaît pas nécessairement avec elle. Un jeton natif peut être refrappé sur une autre chaîne à partir d'un état antérieur, et les détenteurs recrédités automatiquement. C'est la voie choisie par BounceBit : BB est réémis en BEP-20 sur BNB Chain depuis l'état du bloc 20 697 260, arrêté le 19 août 2026 à 21h02m35s UTC. Le prix à payer est que tout ce qui a été écrit après ce bloc cesse d'exister, soit 4 292 transactions confirmées.

Qu'est-ce que le module Cosmos EVM, et pourquoi tant de chaînes en dépendent ?
C'est la brique logicielle qui permet à une blockchain construite avec le Cosmos SDK d'exécuter des contrats Ethereum. La réécrire coûte des années d'ingénierie, donc personne ne la réécrit. Née dans Evmos, extraite en evmOS, elle vit aujourd'hui dans le dépôt cosmos/evm, dont la documentation indique qu'il est utilisé par Ondo, Mezo, MANTRA, une sidechain XRP, la Telegram Application Chain et Stable.

La faille de BounceBit et celle de MANTRA sont-elles la même ?
Personne ne l'a affirmé, et rien ne permet de le conclure au 22 août 2026. Ce qui est établi tient en deux points. Les deux chaînes font tourner deux versions d'une même lignée de code. Et le correctif que MANTRA a embarqué pour redémarrer est le report d'une correction publiée en amont le 15 mai 2026. La description publique de l'incident BounceBit relève de la même famille de défaut, sans que l'identité des deux bogues soit démontrée.

Comment vérifier soi-même à quel point une chaîne est à jour ?
Trois lectures suffisent, toutes publiques. Le fichier de dépendances du dépôt de la chaîne indique la version exacte du cadre qu'elle épingle. La page des versions du cadre amont indique lesquelles portent des correctifs de sécurité. Et la date du dernier commit du dépôt amont indique si quelqu'un est encore là pour en écrire.

Crypto Deep Research, 22 août 2026. Cet article est une analyse d'infrastructure et ne constitue ni un conseil en investissement ni une recommandation d'achat ou de vente.