Des protocoles liés à Bitcoin et Ethereum perdent plus de 35 millions de dollars lors d'attaques rapprochées

Les ponts (bridges) et protocoles cross-chain du secteur crypto ont connu une journée noire. D'après des données on-chain analysées par CoinDesk et des constats publiés par les sociétés de sécurité BlockAid et Peckshield, au moins trois d'entre eux ont été vidés à la suite, sur une fenêtre d'environ six heures, pour un total cumulé dépassant 35 millions de dollars. Point commun de ces attaques : la cryptographie n'a pas été cassée. Les pertes proviennent soit d'une faille logique (le code s'exécute conformément à ce qui est écrit, mais les règles permettent quand même une sortie de fonds), soit de la compromission d'une clé donnant à l'attaquant des droits de contrôle indus. Le cas le plus marquant concerne Verus. BlockAid a détecté tôt jeudi une exploitation du pont Verus–Ethereum ayant siphonné environ 7,54 millions de dollars en ether, bitcoin tokenisé et plusieurs stablecoins. Selon la firme, l'attaquant a utilisé le chemin d'importation du bridge pour déclencher des paiements côté Ethereum sans contrepartie réellement verrouillée, entraînant des sorties d'actifs (ETH, tBTC, USDC, USDT, EURC, MKR et scrvUSD) depuis les réserves du bridge. BlockAid indique que l'attaque réutilise le même contrat de bridge et le même point d'entrée qu'un piratage précédent, en exploitant une vulnérabilité de même nature. CoinDesk avait rapporté cet incident de mai, chiffré à 11,5 millions de dollars. Un bridge est un outil qui permet de transférer des actifs entre deux blockchains autrement non interopérables : il conserve les tokens réels sur une chaîne et émet des représentations sur l'autre. Sa sécurité repose sur une vérification stricte que chaque retrait est bien adossé à des actifs effectivement verrouillés sur la chaîne d'origine. Dans le cas de Verus, la faille a permis de déclencher des décaissements sur Ethereum sans verrouillage valide côté Verus : le bridge a donc libéré de "vrais" fonds en échange d'une créance quasi sans valeur. Lors de l'attaque de mai, l'attaquant avait restitué la majorité des fonds contre une prime. D'après des enregistrements on-chain compilés par des chercheurs en sécurité, Verus a redéposé les montants récupérés dans le même bridge le 8 juillet ; deux semaines plus tard, le pont a de nouveau été vidé. La perte de confiance apparaît aussi dans les indicateurs du protocole. Verus affichait près de 100 millions de dollars de valeur totale verrouillée (TVL) au début de 2025, selon DefiLlama. Jeudi, la TVL s'établissait autour de 9 millions de dollars, après une érosion continue aggravée par une nouvelle chute cette semaine au moment du dernier piratage. Au-delà du montant volé, ces incidents à répétition font sortir les capitaux en sapant la confiance. Autre attaque confirmée : B² Network, une solution de scaling visant à rendre les transactions Bitcoin moins chères et plus rapides. Jeudi matin (heure asiatique), B² a indiqué qu'un attaquant avait obtenu un accès non autorisé à l'autorité de mise à niveau du contrat de staking de son token, c'est-à-dire la permission d'administration qui détermine le comportement du contrat. La société de suivi Lookonchain a retracé environ 3,86 millions de dollars en tokens B2 qui ont été vendus, convertis en ether et en stablecoins, puis transférés. B² affirme avoir contenu l'incident, suspendu le staking et promet une indemnisation intégrale des utilisateurs concernés. Ces événements rappellent qu'un smart contract n'est pas plus sûr que les clés et permissions qui le gouvernent. Si un attaquant s'empare d'une autorité capable de modifier un contrat, il n'a même plus besoin de bug : il peut changer les règles ou vider directement les fonds. Ce mode de défaillance est au cœur de certains des plus grands vols de l'histoire de la crypto, des hacks de Wormhole et Nomad en 2022 à la perte d'environ 290 millions de dollars subie plus tôt cette année par KelpDAO. La défense pourrait encore se complexifier. Dans une analyse publiée cette semaine, OpenAI a indiqué qu'au cours d'une évaluation interne, ses modèles d'IA sont sortis de leur environnement de test et ont compromis des serveurs de Hugging Face, en enchaînant des identifiants dérobés et des failles logicielles jusque-là inconnues. Les garde-fous avaient été abaissés pour le test, et il ne s'agissait donc pas d'un système agissant de manière autonome. L'épisode illustre néanmoins qu'une IA peut désormais mener des intrusions patientes et multi-étapes, jusque-là réservées à des équipes humaines qualifiées. Dans la plupart des secteurs, une compromission déclenche une réponse à incident et, à terme, une reprise. Dans la crypto, un contrat vidé est souvent irréversible et il n'existe pas de mécanisme de "chargeback". Sur 24 heures, quatre équipes — Verus, B², AFX et Balance — ont été drainées pour une raison de fond comparable : aucune n'a cédé à un chiffrement brisé, toutes ont perdu le contrôle d'un accès de confiance, alors même que les outils pour identifier et exploiter ces points de contrôle gagnent en efficacité.