Les vulnérabilités de sécurité cross-chain restent un défi persistant pour les marchés des cryptomonnaies, alors que des enquêteurs ont signalé deux exploits distincts liés à des bridges survenus à quelques heures d’intervalle. Selon la société d’analyse on-chain Blockaid, le vol cumulé a dépassé 31,6 millions de dollars, avec des pertes provenant d’une infrastructure de bridge associée à la plateforme d’échange perpétuel décentralisée AFX et au Verus Ethereum Bridge.

Les protocoles de bridge ont historiquement représenté la plus grande part de la valeur volée lors d’attaques DeFi, des incidents tels que le piratage de Ronin Network (625 millions de dollars, mars 2022), l’exploit de Wormhole (320 millions de dollars, février 2022) et le drain du Nomad Bridge (190 millions de dollars, août 2022) mettant en évidence un schéma récurrent bien antérieur aux incidents de mercredi.

Blockaid a indiqué que le bridge d’AFX avait perdu 24,15 millions de dollars mercredi, suivi d’une attaque contre le Verus Ethereum Bridge qui a drainé environ 7,5 millions de dollars des réserves du bridge. Ces incidents successifs montrent que les opérateurs de bridges — et les protocoles qui les intègrent — peuvent rester exposés même lorsque les exploits ne sont pas liés à une faiblesse au niveau d’une seule blockchain.

Exploit du bridge AFX sur Arbitrum

Blockaid a déclaré avoir détecté un exploit à 9:30 PM UTC visant un bridge exploité par AFX, une plateforme d’échange perpétuel décentralisée construite sur Arbitrum. L’enquête a qualifié l’événement de compromission d’une intégration tierce plutôt que de violation de l’infrastructure de bridge principale d’Arbitrum.

Stephen Goldfeder, cofondateur d’Offchain Labs, a précisé qu’un signalement de piratage de bridge circulant en ligne concernait une transaction provenant d’un protocole tiers, et que le bridge natif d’Arbitrum lui-même n’avait pas été compromis. Goldfeder a souligné que le bridge natif d’Arbitrum « has not been hacked or exploited in any way. »

Une analyse supplémentaire de SunSec — fondateur de la communauté de sécurité DeFi DeFiHackLabs et contributeur à SEAL — a suggéré que les éléments disponibles pointaient davantage vers des clés privées compromises que vers une vulnérabilité dans la logique d’un smart contract. Cette distinction a des implications importantes pour la réponse à incident, car une compromission de clés nécessite généralement une rotation urgente des identifiants et un examen plus large des contrôles d’accès, et indique que le point le plus faible ne se situe pas toujours dans les contrats de bridge eux-mêmes. Les compromissions de clés privées ont également été la cause profonde des failles Ronin et Wormhole, faisant de la sécurité opérationnelle des opérateurs de bridges un point de défaillance récurrent distinct des bugs au niveau du code.

Cointelegraph a sollicité AFX pour obtenir un commentaire au sujet de l’exploit signalé. Les informations disponibles se concentrent sur les observations faites par Blockaid et les enquêteurs affiliés pendant l’incident.

L’attaque du Verus Ethereum Bridge rappelle un incident précédent de mai

Dans un incident séparé, Blockaid a signalé un exploit visant le Verus Ethereum Bridge, qui a drainé environ 7,5 millions de dollars sur plusieurs actifs détenus dans les réserves du bridge. Les tokens affectés comprenaient Ether (ETH), tBTC, USDC, USDt, EURC, MKR et scrvUSD.

Blockaid a noté que la méthode d’attaque semble similaire à un précédent incident du Verus Ethereum Bridge signalé en mai, qui avait entraîné le vol de 11,58 millions de dollars. Dans ce cas antérieur, la même approche générale avait été utilisée, mais exécutée par un autre portefeuille d’attaquant. Cette répétition suggère que, même après une première exploitation, le même chemin structurel est resté accessible — un schéma qui contraste avec les violations de bridges sur un seul incident, où des correctifs ont fermé le vecteur spécifique.

Selon Blockaid, l’attaquant a exploité l’« import path » du bridge pour déclencher des « unbacked Ethereum-side payouts ». En pratique, cela indique une faiblesse au niveau du flux opérationnel : les attaquants peuvent être en mesure d’amener le bridge à libérer des actifs d’un côté du système sans garantie correspondante de l’autre côté, créant un mécanisme direct d’épuisement des réserves.

Le caractère répété de cette tactique soulève des préoccupations persistantes pour les utilisateurs et les intégrateurs. Même lorsque les équipes de développement corrigent une vulnérabilité spécifique, les mécanismes opérationnels régissant les imports et les paiements peuvent rester exploitables si les hypothèses sous-jacentes ne sont pas pleinement traitées.

Pourquoi les défaillances de bridges persistent

Les exploits de bridges restent difficiles à éliminer entièrement, car l’infrastructure cross-chain combine généralement plusieurs composants : conservation des actifs, transmission de messages ou mécanismes d’import/export, et systèmes d’autorisation pour déclencher les flux de règlement. Lorsque des attaquants découvrent une faille entre ces éléments — que ce soit via des identifiants compromis, une autorisation incorrecte ou des faiblesses dans la validation des états cross-chain — le résultat est souvent un drainage rapide des fonds.

L’enquêteur on-chain TheCrypticWolf a résumé le problème plus large dans une publication sur X, affirmant que les bridges restent un maillon faible tant que la « security is upgraded ». Bien que cette déclaration reflète une perspective générale plutôt qu’une preuve propre à l’incident, les deux attaques signalées le même jour lui donnent un appui concret : les réserves de bridges de forte valeur rendent ces systèmes attractifs pour les attaquants, et la complexité architecturale rend le renforcement complet de la sécurité particulièrement difficile.

Une asymétrie importante existe entre les deux incidents. Le signalement de Blockaid sur le cas AFX s’est accompagné de la clarification de Goldfeder selon laquelle le bridge natif d’Arbitrum n’avait pas été compromis, ce qui suggère que le problème provenait d’une intégration tierce ou de contrôles de bridge liés à un protocole spécifique. À l’inverse, la description par Blockaid de l’incident Verus met l’accent sur la manière dont le mécanisme d’import du bridge peut produire des paiements côté Ethereum qui ne sont pas correctement garantis — un problème qui pourrait être plus directement lié à la logique de règlement et aux hypothèses d’état.

Implications pour les écosystèmes affectés

Les incidents liés aux bridges déclenchent généralement des mesures d’urgence, notamment des contrôles de pause, une surveillance renforcée et des modifications des flux de conservation ou d’autorisation. Les parties affectées devraient suivre les communications ultérieures d’AFX et de l’écosystème Verus, en particulier concernant ce que Blockaid et d’autres enquêteurs détermineront sur la cause profonde — compromission de clés, échec d’autorisation ou faiblesse répétable dans le règlement d’import/export.

Plus largement, ces événements rappellent que l’exposition cross-chain ne se limite pas aux seuls opérateurs de bridges. Les applications décentralisées et les traders qui s’appuient sur des bridges pour la liquidité et le règlement devraient considérer la sécurité des bridges comme un risque en évolution continue plutôt que comme un point de contrôle ponctuel. L’incident Verus, en particulier, montre qu’un vecteur d’attaque connu et déjà exploité peut persister lors d’incidents espacés de plusieurs mois, ce qui signifie que la connaissance d’une faille passée ne constitue pas une preuve suffisante que le problème sous-jacent a été résolu.