Des protocoles cross-chain liés à Bitcoin et Ethereum perdent plus de 35 millions de dollars dans une série d’attaques espacées de quelques heures

Les attaques ont touché Verus, B² Network et d’autres systèmes cross-chain, montrant comment des clés compromises, des pouvoirs de mise à niveau et des contrôles de validation peuvent vider des protocoles sans casser la cryptographie sous-jacente.

Sur une période de six heures, au moins trois ponts crypto et protocoles cross-chain ont été vidés de plus de 35 millions de dollars au total, mettant en évidence des faiblesses récurrentes dans la conception et la gouvernance de ces systèmes. Les attaques ont visé Verus, B² Network et d’autres infrastructures cross-chain, et les données blockchain analysées par CoinDesk — corroborées par les sociétés de sécurité BlockAid et PeckShield — confirment qu’aucun des exploits n’a nécessité de casser la cryptographie sous-jacente. Chaque incident provenait soit d’une faille logique, dans laquelle le code s’exécutait comme prévu mais les règles permettaient tout de même la sortie des fonds, soit d’une clé compromise ayant donné à un attaquant un contrôle non autorisé.

Cette série d’attaques souligne la nécessité d’auditer les composants hors chaîne — tels que les clés privées, les autorités de mise à niveau et les contrôles de validation — et pas seulement le code des smart contracts. Pour les systèmes cross-chain, ces contrôles déterminent souvent si des actifs verrouillés sur un réseau peuvent être représentés ou libérés en toute sécurité sur un autre, faisant de la sécurité opérationnelle un élément central de la conception du protocole plutôt qu’une préoccupation secondaire.

Les trois exploits

La plateforme de contrats perpétuels AFX a perdu environ 24,15 millions de dollars depuis un pont qu’elle exploite sur Arbitrum. Le pont Verus-Ethereum a été vidé de 7,54 millions de dollars, sa deuxième attaque cette année via la même faille. B², un réseau de mise à l’échelle de Bitcoin, a perdu 3,86 millions de dollars depuis son contrat de staking de tokens.

Pont Verus-Ethereum : deuxième ponction via la même faille

La plus dommageable des attaques confirmées a visé le réseau blockchain Verus. BlockAid a détecté tôt jeudi un exploit sur le pont Verus-Ethereum, qui a vidé environ 7,54 millions de dollars en ether, bitcoin tokenisé et divers stablecoins.

🚨 Blockaid detected a @VerusCoin Ethereum Bridge exploit on Ethereum. An attacker used the bridge import path to trigger unbacked Ethereum-side payouts, draining ~$7.54M in ETH, tBTC, USDC, USDT, EURC, MKR, and scrvUSD from bridge reserves. More details in 🧵 — Blockaid (@blockaid_) July 23, 2026

La société a signalé que l’attaque réutilisait le même contrat de pont et le même point d’entrée qu’un piratage antérieur, en exploitant une catégorie de bug identique. CoinDesk avait rapporté cet incident précédent, une perte de 11,5 millions de dollars, en mai.

Un pont est un outil fondé sur la blockchain qui permet à des actifs de circuler entre deux réseaux qui, autrement, ne peuvent pas interagir. Il conserve de vrais tokens d’un côté et émet des créances correspondantes de l’autre. Sa sécurité dépend entièrement de la vérification correcte du fait que chaque retrait est réellement adossé à des actifs verrouillés sur l’autre chaîne.

Cette conception fait des ponts une infrastructure à fort enjeu : une défaillance de vérification peut transformer une erreur comptable en perte immédiate de réserves. Les chaînes sous-jacentes peuvent continuer à produire des blocs valides, mais la couche du pont peut tout de même verser des actifs qu’elle ne devrait pas libérer.

La faille de Verus a permis à un attaquant de déclencher des paiements côté Ethereum qui n’étaient jamais correctement adossés côté Verus. Le pont a libéré de vrais fonds contre une créance d’une valeur quasi nulle.

Après l’attaque de mai, l’attaquant avait restitué la majeure partie des fonds en échange d’une prime. Verus a ensuite redéposé l’argent récupéré dans le même pont le 8 juillet, selon des données onchain compilées par des chercheurs en sécurité. Le pont a de nouveau été vidé deux semaines plus tard.

Le coût de cette confiance mal placée apparaît dans les propres chiffres du protocole. Verus détenait près de 100 millions de dollars de valeur totale verrouillée au début de 2025, selon DefiLlama. Jeudi, ce chiffre était tombé à environ 9 millions de dollars — une érosion progressive ponctuée par une nouvelle baisse cette semaine avec le dernier piratage.

De tels échecs répétés ne coûtent pas seulement l’argent volé lors d’une attaque donnée ; ils sapent aussi la confiance qui maintient les actifs sur la plateforme.

B² Network : autorité de mise à niveau compromise

Une autre attaque confirmée a visé B² Network, un réseau de mise à l’échelle conçu pour rendre les transactions Bitcoin moins coûteuses et plus rapides.

B² a déclaré jeudi matin, aux heures asiatiques, qu’un attaquant avait obtenu un accès non autorisé à l’autorité de mise à niveau de son contrat de staking de tokens — la permission administrative qui contrôle le comportement de ce contrat.

La société de sécurité Lookonchain a retracé environ 3,86 millions de dollars en tokens B2 qui ont été vendus, convertis en ether et en stablecoins, puis déplacés. B² a déclaré avoir contenu l’incident, suspendu le staking et prévoir d’indemniser intégralement les utilisateurs touchés.

Un smart contract n’est sûr que dans la mesure où les clés et permissions qui le contrôlent le sont. Si un attaquant s’empare de l’autorité permettant de modifier le fonctionnement d’un contrat, le code n’a pas besoin de contenir de bug — l’attaquant peut simplement réécrire les règles ou vider directement les fonds.

Ce mode de défaillance est à l’origine de certains des plus grands vols de l’histoire de la crypto, des piratages des ponts Wormhole et Nomad en 2022 à la perte d’environ 290 millions de dollars subie par KelpDAO plus tôt cette année.

AFX et Balance : le même schéma sous-jacent

Sur une fenêtre de 24 heures, quatre équipes — Verus, B², AFX et Balance — ont été vidées pour la même raison sous-jacente. Aucune n’a cédé face à un chiffrement cassé. Chacune a perdu un contrôle de confiance.

AFX, une plateforme de contrats perpétuels exploitant un pont sur Arbitrum, a perdu environ 24,15 millions de dollars après la compromission de ses clés de pont. Balance, un protocole de stablecoin, s’est effondré de 99 % après qu’un exploit de 1 million de dollars a vidé ses coffres Bitcoin.

Ce schéma est particulièrement important pour les protocoles qui reposent sur des ponts, des coffres, des contrats de staking ou des systèmes pouvant être mis à niveau. Dans ces architectures, les utilisateurs ne font pas seulement confiance à la logique visible du contrat ; ils dépendent aussi de la conservation des clés de signature, des limites imposées aux administrateurs et des contrôles confirmant que les dépôts et retraits sont valides.

La menace croissante des intrusions pilotées par l’IA

Se défendre contre ces attaques est sur le point de devenir plus difficile. Dans une analyse publiée cette semaine, OpenAI a indiqué que, lors d’une évaluation interne, ses modèles d’IA étaient sortis de leur environnement de test et avaient compromis les serveurs de Hugging Face, en enchaînant des identifiants volés et des failles logicielles jusque-là inconnues pour mener à bien l’intrusion.

Les limites de sécurité des modèles avaient été abaissées pour le test ; il ne s’agissait donc pas d’un système agissant de lui-même. Mais cela a constitué une démonstration concrète du fait que l’IA peut désormais mener un travail d’intrusion patient et en plusieurs étapes qui nécessitait encore récemment une équipe humaine qualifiée.

Dans la plupart des secteurs, une faille entraîne une réponse à incident puis, à terme, une récupération. Dans la crypto, où un contrat vidé l’est définitivement et où il n’existe pas de rétrofacturation, cette même capacité renvoie à une menace sans bouton d’annulation.

Le fil conducteur de toutes les attaques de jeudi est clair : les outils permettant de repérer les contrôles de confiance — clés, autorités de mise à niveau, contrôles de validation — deviennent de plus en plus efficaces, et les protocoles qui n’auditent pas ces composants hors chaîne restent exposés.

Source : CoinDesk