Deux attaques contre des ponts crypto en sept heures : 31,6 M$ d'actifs dérobés

Les failles de sécurité liées aux ponts inter-chaînes continuent de peser sur le marché des cryptoactifs. Des enquêteurs ont signalé deux exploits distincts, survenus à quelques heures d'intervalle, qui auraient permis le vol de plus de 31,6 millions de dollars, selon la société d'analyse on-chain Blockaid. D'après Blockaid, les fonds ont été prélevés sur des infrastructures de bridge utilisées par l'exchange décentralisé de perpétuels AFX et par le Verus Ethereum Bridge. L'incident concernant le bridge d'AFX représente 24,15 M$ de pertes mercredi. Un second piratage, visant Verus Ethereum Bridge, aurait ensuite vidé environ 7,5 M$ des réserves du bridge. Points clés - Blockaid fait état de 24,15 M$ dérobés via un bridge opéré par AFX sur Arbitrum, et d'environ 7,5 M$ drainés sur Verus Ethereum Bridge quelques heures plus tard. - Stephen Goldfeder, cofondateur d'Offchain Labs, affirme que le bridge natif d'Arbitrum n'a pas été piraté ; l'activité incriminée proviendrait d'un protocole tiers. - Des chercheurs en sécurité estiment que l'incident AFX pourrait relever d'une compromission de clés plutôt que d'un défaut de logique de smart contract. - Pour Verus, Blockaid indique une méthode semblable à celle observée lors d'un incident en mai, avec un portefeuille attaquant différent. - Ces affaires rappellent que les bridges restent des cibles à forte valeur, car ils conservent des pools d'actifs importants et transfèrent de la valeur entre écosystèmes. Arbitrum : ce qui aurait été visé dans l'incident AFX Blockaid indique avoir détecté un exploit à 21h30 UTC visant un bridge opéré par AFX, un exchange décentralisé de contrats perpétuels déployé sur Arbitrum. Les éléments collectés orientent l'analyse vers une compromission touchant une intégration tierce, plutôt qu'une faille du cœur de l'infrastructure de bridge d'Arbitrum. Stephen Goldfeder, cofondateur d'Offchain Labs, a réagi à des messages faisant état d'un "hack du bridge" : selon lui, la transaction en cause émanait d'un protocole tiers et le bridge natif d'Arbitrum "n'a pas été piraté ni exploité de quelque manière que ce soit". SunSec, fondateur de la communauté DeFiHackLabs et contributeur de SEAL, a ajouté que les indices pointeraient davantage vers des clés compromises que vers un bug de logique de smart contract. Cette nuance est importante pour la réponse à incident : une compromission de clés implique généralement une rotation urgente des identifiants et un audit élargi des accès. Elle suggère aussi que le maillon faible peut se situer ailleurs que dans les contrats du bridge. Verus Ethereum Bridge : une technique proche de l'attaque de mai Dans un autre dossier, Blockaid fait état d'un exploit visant Verus Ethereum Bridge, ayant siphonné environ 7,5 M$ répartis sur plusieurs actifs conservés en réserve. Les jetons mentionnés incluent Ether (ETH), tBTC, USDC, USDt, EURC, MKR et scrvUSD. Blockaid estime que le mode opératoire ressemble à celui d'un incident survenu en mai, au cours duquel 11,58 M$ avaient été dérobés. L'approche globale aurait été la même, mais avec un portefeuille attaquant différent. Toujours selon Blockaid, l'attaquant aurait utilisé la fonction "import path" du bridge pour déclencher des "payouts côté Ethereum non adossés". Concrètement, cela renvoie à une faiblesse de workflow : obtenir la libération d'actifs d'un côté sans contrepartie correctement garantie de l'autre, ouvrant la voie à un assèchement rapide des réserves. Pourquoi les incidents sur les bridges se répètent Les exploits de bridges sont difficiles à éradiquer car ces systèmes combinent plusieurs briques : garde d'actifs, mécanismes de messagerie ou d'import/export, et règles d'autorisation pour déclencher les flux de règlement. Quand un attaquant trouve une faille entre ces couches—clés compromises, autorisations mal configurées, validation insuffisante d'état cross-chain—le dénouement est souvent le même : des retraits massifs en peu de temps. L'enquêteur on-chain TheCrypticWolf a résumé sur X un constat largement partagé : les bridges resteraient un point faible tant que la "sécurité n'est pas renforcée". Sans apporter d'élément spécifique supplémentaire, les deux attaques signalées la même journée renforcent l'idée que des réserves importantes et une complexité technique élevée créent un terrain favorable aux agressions. L'asymétrie entre les deux épisodes est notable. Dans le cas AFX, les précisions de Goldfeder indiquent que l'infrastructure native d'Arbitrum n'aurait pas été touchée, ce qui renvoie plutôt à une intégration tierce ou à des contrôles propres au protocole. Pour Verus, la description de Blockaid met l'accent sur le mécanisme d'import permettant des paiements côté Ethereum sans adossement correct, un sujet plus directement lié à la logique de règlement et aux hypothèses de validation d'état. Ce qu'il faut surveiller Ce type d'incident débouche généralement sur des mesures d'urgence : pauses des services, monitoring renforcé, ajustements des processus de garde et d'autorisation. Les prochaines communications d'AFX et de l'écosystème Verus seront scrutées, notamment sur la cause racine identifiée par Blockaid et d'autres analystes : compromission de clés, défaillance d'autorisation, ou vulnérabilité reproductible dans les flux d'import/export. Plus largement, ces événements rappellent que l'exposition cross-chain ne concerne pas uniquement les opérateurs de bridges. Les applications décentralisées et les traders qui dépendent des bridges pour la liquidité et le règlement doivent considérer la sécurité des bridges comme un risque dynamique, pas comme un point à valider une fois pour toutes.