HOT Omni Bridge sur NEAR exploité : 3,86 millions de dollars en paiements depuis la trésorerie BSC ensuite restitués, selon CertiKAlert
Points clés
- •Le service de surveillance CertiKAlert de CertiK a identifié HOT Omni Bridge sur NEAR comme le protocole exploité, enregistrant cinq paiements acheminés via des adresses de trésorerie de la BNB Smart Chain le 30 septembre.
- •La valeur agrégée des sorties observées côté BSC a atteint 3,86 millions de dollars, bien que CertiKAlert ait rapporté que les fonds ont ensuite été restitués.
- •L'alerte publique n'a pas révélé comment les fonds ont été restitués, les mécanismes de l'exploitation ni l'identité de l'attaquant, et ne contenait aucun hash de transaction ni adresse de portefeuille.
- •Le schéma en cinq paiements indique plusieurs retraits distincts plutôt qu'un drainage atomique unique, une structure pouvant suggérer un comportement de sondage ou une faille de contrat limitée en fréquence.
- •Ni l'équipe du HOT Protocol ni la NEAR Foundation n'ont publié de divulgation officielle, laissant la cause racine et le statut de sécurité actuel du pont non confirmés.
HOT Omni Bridge, un pont cross-chain opérant sur le protocole NEAR, a été exploité le 30 septembre, ce qui a donné lieu à cinq paiements depuis des adresses de trésorerie BSC totalisant 3,86 millions de dollars, selon un rapport CertiKAlert publié le 9 octobre. La branche de surveillance de la sécurité on-chain de l'auditeur blockchain CertiK a indiqué que les fonds exploités avaient ensuite été restitués, bien que les mécanismes de l'attaque et l'identité de l'attaquant restent non confirmés dans l'alerte publique.
Ce que le rapport CertiKAlert confirme
CertiKAlert a signalé l'incident sous sa classification #CertiKInsight, identifiant HOT Omni Bridge comme le protocole exploité. Les cinq paiements ont été acheminés via des adresses de trésorerie de la BNB Smart Chain (BSC), un schéma d'acheminement suggérant que le vecteur d'attaque impliquait la couche de messagerie cross-chain ou de liquidité du pont entre NEAR et BSC.
Le chiffre de 3,86 millions de dollars représente l'agrégat des cinq sorties observées côté BSC. CertiKAlert a déclaré que le montant avait été restitué par la suite, un détail qui distingue l'incident d'un drainage de pont typique irréversible, mais qui ne permet pas de déterminer si la restitution était volontaire, contrainte ou le résultat de mécanismes de récupération on-chain. L'alerte publique n'a pas précisé quand ni comment les fonds ont été restitués, et ne contenait aucun hash de transaction ni adresse de portefeuille.
On 30 Sept, HOT Omni Bridge on NEAR was exploited resulting in five observed BSC treasury payouts totaling $3.86M, which was later returned.
Read our full analysis here👇
CertiK Report Security Dashboard 👇
Source : @CertiKAlert sur X
Implications en termes de risque pour les utilisateurs du pont NEAR
Les exploitations de ponts présentent un risque systémique disproportionné dans la DeFi multi-chaînes, car les ponts se situent à la frontière de confiance entre deux environnements d'exécution distincts, verrouillant des actifs sur un réseau tout en libérant ou en émettant des actifs correspondants sur un autre. NEAR utilise son propre runtime de contrats intelligents plutôt que la machine virtuelle Ethereum, de sorte que les ponts le reliant à des chaînes EVM telles que BSC doivent vérifier les messages selon des normes d'exécution et cryptographiques différentes. Lorsque la trésorerie d'un pont est accédée sans autorisation, tous les actifs verrouillés de part et d'autre du pont sont potentiellement exposés jusqu'à ce que la vulnérabilité soit corrigée et vérifiée de manière indépendante.
La structure en cinq paiements observée dans cet incident suggère que l'attaquant a effectué plusieurs retraits distincts plutôt qu'un drainage atomique unique, un schéma pouvant indiquer un comportement de sondage ou une faille de contrat intelligent limitée en fréquence.
L'écosystème élargi de NEAR a étendu sa surface cross-chain, ajoutant récemment une infrastructure d'actifs post-quantique sur plusieurs chaînes avec le lancement de Quantus (QTC). Chaque pont ou primitive cross-chain supplémentaire accroît la surface d'attaque que des services de surveillance de la sécurité comme CertiK doivent couvrir. Aucune déclaration de l'équipe du HOT Protocol ou de la NEAR Foundation n'était référencée dans l'alerte ; les utilisateurs détenant des actifs sur HOT Omni Bridge autour du 30 septembre devraient vérifier l'état actuel de leur solde et surveiller toute divulgation officielle de l'incident par ces équipes.
La restitution des fonds ne confirme pas que les contrats intelligents du pont sont sécurisés. Dans plusieurs incidents historiques de ponts, des fonds ont été restitués après des interventions de whitehats ou des divulgations négociées, tandis que la vulnérabilité sous-jacente restait non corrigée pendant des jours. L'exploitation de Poly Network en août 2021, au cours de laquelle environ 611 millions de dollars ont été drainés et la majorité des fonds ensuite restitués, reste un précédent fréquemment cité de résolution négociée. Jusqu'à la publication d'un post-mortem formel par l'équipe du pont ou la divulgation de l'analyse complète de CertiK, la cause racine de l'exploitation, les adresses de contrats concernées et le statut de sécurité actuel du pont demeurent des questions ouvertes.
Ce qu'il faut suivre à mesure que des détails vérifiés émergent
La publication de CertiKAlert renvoie vers un rapport d'analyse complet de CertiK ainsi que vers le tableau de bord de sécurité de CertiK. Les lecteurs devraient surveiller ce rapport pour la classe de vulnérabilité spécifique, telle qu'un contournement de vérification de signature, une réentrance ou une manipulation d'oracle, ainsi que les hash de transaction confirmés des deux côtés, NEAR et BSC, et l'état de mise en pause ou de correction du pont. Une déclaration officielle de l'équipe du HOT Protocol précisant si la restitution a été négociée ou forcée par la gouvernance on-chain modifierait sensiblement l'évaluation du risque.
Les questions clés non résolues incluent : HOT Omni Bridge reste-t-il opérationnel, des fonds d'utilisateurs au-delà des paiements de trésorerie ont-ils été exposés, et les cinq adresses de trésorerie BSC concern ont-elles été publiquement identifiées. La sécurité des ponts cross-chain demeure une préoccupation continue dans l'ensemble de la pile DeFi, comme l'illustrent des incidents comparables impliquant des ponts reliant des chaînes EVM et non EVM, notamment l'exploitation de Wormhole en février 2022 sur la route Solana–Ethereum et la violation du Ronin Bridge en mars 2022, avec des pertes d'environ 325 millions et 624 millions de dollars respectivement. L'infrastructure de ponts côté BSC a également été ciblée par le passé : en octobre 2022, une faille de vérification de preuve dans le BNB Bridge a permis l'émission non autorisée d'environ 570 millions de dollars en BNB et a entraîné un arrêt temporaire de la BNB Chain. Les efforts parallèles de l'industrie, tels que le développement d'adaptateurs de coffres Chainlink CCIP pour des dépôts cross-chain en un clic, reflètent une dynamique plus large visant à standardiser et renforcer la sécurité de la couche des ponts.
