Ethereum reporte le test de Glamsterdam : les EIP-8037 et 8038 menacent 13 protocoles DeFi. Des agents IA coordonnés traquent les contrats touchés.
<blockquote class="wp-block-quote is-layout-flow wp-block-quote-is-layout-flow"> <p><strong>Ce qu’il faut retenir :</strong></p> <ul class="wp-block-list"> <li>Ethereum a reporté le test de Glamsterdam sur le testnet Hoodi après la découverte de failles par ChainSecurity.</li> <li>Selon ChainSecurity, les EIP-8037 et 8038 pourraient rendre vulnérables au moins 13 protocoles DeFi existants.</li> <li>Des chercheurs d’Ethlabs et de l’Ethereum Foundation utilisent des agents <a class="wpil_keyword_link" href="https://coinacademy.fr/academie/top-5-crypto-intelligence-artificielle/" target="_blank" rel="noopener" title="IA" data-wpil-keyword-link="linked" data-wpil-monitor-id="585368">IA</a> coordonnés pour recenser les contrats touchés.</li> </ul> </blockquote> <p><strong><a class="wpil_keyword_link" href="https://coinacademy.fr/ethereum-eth-fondamental/" target="_blank" rel="noopener" title="Ethereum" data-wpil-keyword-link="linked" data-wpil-monitor-id="585366">Ethereum</a></strong> appuie sur pause. Les développeurs du réseau ont reporté la répétition générale de <strong>Glamsterdam</strong>, sa prochaine grande mise à jour, sur le <a class="wpil_keyword_link" href="https://coinacademy.fr/academie/testnet-blockchain-crypto/" target="_blank" rel="noopener" title="testnet" data-wpil-keyword-link="linked" data-wpil-monitor-id="585362">testnet</a> <strong>Hoodi</strong>. En cause : des failles de sécurité identifiées par la société d’audit <strong>ChainSecurity</strong> dans deux propositions centrales du <a class="wpil_keyword_link" href="https://coinacademy.fr/academie/hard-fork-soft-fork/" target="_blank" rel="noopener" title="hard fork" data-wpil-keyword-link="linked" data-wpil-monitor-id="585364">hard fork</a>, l’<strong>EIP-8037</strong> et l’<strong>EIP-8038</strong>. Le cabinet affirme avoir déjà trouvé <strong>13 exemples concrets</strong> de contrats concernés et a engagé une divulgation responsable auprès des projets visés.</p> <p>Glamsterdam devait être lancé en décembre sur le mainnet. Lors de la réunion des développeurs principaux (All <a class="wpil_keyword_link" href="https://coinacademy.fr/coredaoorg-core-fondamental/" target="_blank" rel="noopener" title="Core" data-wpil-keyword-link="linked" data-wpil-monitor-id="585369">Core</a> Devs, ou ACD) de la semaine dernière, les équipes ont tranché : la sécurité passe avant le calendrier. Aucune nouvelle date ne sera fixée avant une analyse complète des effets de ces failles.</p> <figure class="wp-block-embed is-type-rich is-provider-x wp-block-embed-x"><div class="wp-block-embed__wrapper"> <blockquote class="twitter-tweet" data-width="550" data-dnt="true"><p lang="zxx" dir="ltr"><a href="https://t.co/alLxAwuS2o" target="_blank">https://t.co/alLxAwuS2o</a></p>— Derek Chiang | Ethlabs (@decentrek) <a href="https://x.com/decentrek/status/2114405149729079607?ref_src=twsrc%5Etfw" target="_blank">October 25, 2026</a></blockquote><script async src="https://platform.x.com/widgets.js" charset="utf-8"></script> </div></figure> <h2 class="wp-block-heading" id="h-que-prevoient-les-eip-8037-et-8038"><span id="que-prevoient-les-eip-8037-et-8038">Que prévoient les EIP-8037 et 8038 ?</span></h2> <p>Les deux propositions doivent rendre plus chère la création et l’accès aux données d’état sur Ethereum. L’état désigne l’ensemble des informations que chaque validateur doit conserver : soldes des comptes, données des contrats, emplacements de stockage. Chaque nouveau compte ou nouvel emplacement de stockage alourdit cette <a class="wpil_keyword_link" href="https://coinacademy.fr/airdrops/airdrop-base/" target="_blank" rel="noopener" title="base" data-wpil-keyword-link="linked" data-wpil-monitor-id="585361">base</a>.</p> <p>Aujourd’hui, l’état d’Ethereum grossit d’environ <strong>116 Go par an</strong>. Or Glamsterdam doit faire passer la limite de <a class="wpil_keyword_link" href="https://coinacademy.fr/academie/frais-gaz-gas-fee/" target="_blank" rel="noopener" title="gaz" data-wpil-keyword-link="linked" data-wpil-monitor-id="585365">gaz</a> par bloc de <strong>60 à 200 millions</strong>. Sans garde-fou, la croissance de l’état atteindrait environ <strong>387 Go par an</strong>, de quoi dégrader la décentralisation et les performances du réseau, explique <strong>Derek Chiang</strong>, d’Ethlabs, dans un long billet publié sur X. Les EIP-8037 et 8038 renchérissent donc la création d’état quand celle-ci s'emballe.</p> <h2 class="wp-block-heading" id="h-pourquoi-ces-eip-creent-elles-des-failles-dans-des-contrats-existants"><span id="pourquoi-ces-eip-creent-elles-des-failles-dans-des-contrats-existants">Pourquoi ces EIP créent-elles des failles dans des contrats existants ?</span></h2> <p>Le problème tient au comportement du gaz, l’unité qui mesure le coût de calcul d’une <a class="wpil_keyword_link" href="https://coinacademy.fr/academie/transaction-blockchain/" target="_blank" rel="noopener" title="transaction" data-wpil-keyword-link="linked" data-wpil-monitor-id="585367">transaction</a>. Aujourd’hui, quand un contrat A appelle un contrat B et que B épuise son gaz, il ne reste qu’une petite fraction, 1/64, pour terminer l’exécution de A. Beaucoup de contrats reposent implicitement sur cette règle.</p> <p><strong>L’EIP-8037 introduit un mécanisme qui rend du gaz quand un emplacement de stockage est libéré.</strong> L’appel interne vers B peut alors échouer faute de gaz, alors que A dispose encore d’une réserve confortable. Un gestionnaire d’erreur qui échouait jusqu’ici, faute de gaz, pourrait désormais aller au bout. Le comportement du contrat change, et un attaquant pourrait en profiter. Des contrats sûrs aujourd’hui deviendraient vulnérables le jour du fork.</p> <p>Derek Chiang retient une leçon : le protocole est devenu si complexe que chaque modification entraîne des effets secondaires imprévus. La faille a surgi moins de deux mois avant le lancement prévu. Selon lui, les concepteurs de futures mises à jour devront analyser les risques de casse bien plus tôt.</p> <h2 class="wp-block-heading" id="h-des-agents-ia-pour-passer-ethereum-au-crible"><span id="des-agents-ia-pour-passer-ethereum-au-crible">Des agents IA pour passer Ethereum au crible</span></h2> <p>Pour recenser tous les contrats touchés, les chercheurs ont misé sur l’IA. Juste après la réunion ACD, <strong>Francesco D’Amato</strong>, chercheur chez Ethlabs, a lancé pendant la nuit des agents IA chargés de scanner les contrats. Il a découvert que <strong>Toni Wahrstätter</strong>, de l’<strong>Ethereum Foundation</strong>, faisait la même chose de son côté.</p> <p>Pour éviter les doublons, Francesco D’Amato a créé un dépôt GitHub qui sert de tableau de coordination aux agents. Chacun y déclare ses ressources, réserve une tâche en commentant un ticket, met à jour l’avancement et consigne ses résultats pour qu’un autre <a class="wpil_keyword_link" href="https://coinacademy.fr/academie/agent-ia-crypto/" target="_blank" rel="noopener" title="agent" data-wpil-keyword-link="linked" data-wpil-monitor-id="585370">agent</a> puisse les vérifier. D’autres chercheurs d’Ethlabs et de l’Ethereum Foundation ont rejoint l’effort, simplement en pointant leur agent, Codex ou Claude, vers le dépôt.</p> <p>Derek Chiang fait lui-même le parallèle avec le piratage de Hugging Face par des agents d’OpenAI, qui s’étaient coordonnés via un forum. <em>« Le même schéma fonctionne aussi pour les bons agents »</em>, écrit-il. Les résultats restent confidentiels pour des raisons de sécurité. Ils seront présentés lors de la réunion des développeurs consacrée aux tests (ACDT) la semaine prochaine.</p> <h2 class="wp-block-heading" id="h-ce-qu-il-faut-surveiller"><span id="c