Au moins trois ont été vidées en l’espace d’une brève succession sur une période de 6 heures, pour un total combiné dépassant 35 millions de dollars, selon des données de blockchain évaluées par CoinDesk et rapportées par les sociétés de sécurité BlockAid et Peckshield.
Les attaques partagent un fil conducteur. Aucune n’a brisé la cryptographie sous-jacente : chacune reposait soit sur une faille logique, où le code s’exécutait comme prévu mais où les règles laissaient quand même de l’argent sortir, soit sur une clé compromise qui donnait à un attaquant un contrôle qu’il ne devait jamais avoir.
La plus accablante concernait le réseau blockchain Verus. Blockaid a détecté dès jeudi matin une exploitation sur le pont Verus-Ethereum qui a vidé environ 7,54 millions de dollars en ether, des bitcoins tokenisés et une série de stablecoins.
La société a signalé que l’attaque réutilisait le même contrat de pont et le même chemin d’accès que lors d’un piratage antérieur, en exploitant une classe de bug identique. CoinDesk a rapporté cet incident précédent, qui a entraîné une perte de 11,5 millions de dollars, en mai.
Un pont est un outil basé sur la blockchain qui permet aux actifs de passer d’un réseau à un autre que, autrement, ne peuvent pas interagir entre eux. Il détient de vrais jetons d’un côté et émet des créances sur l’autre. Sa sécurité dépend entièrement de la vérification correcte du fait que chaque retrait est bien garanti par des actifs verrouillés sur l’autre chaîne.
La faille Verus a permis à un attaquant de déclencher des paiements du côté Ethereum qui n’étaient jamais correctement garantis du côté Verus. Ainsi, le pont a libéré de l’argent réel en échange d’une demande d’un montant valable pour ainsi dire rien.
L’attaquant a restitué la majeure partie des fonds en échange d’une prime après l’attaque de mai. Verus a ensuite redéposé l’argent récupéré dans le même pont le 8 juillet, selon des enregistrements on-chain compilés par des chercheurs en sécurité, et le pont a été à nouveau vidé deux semaines plus tard.
Le coût de cette confiance se voit dans les chiffres « wn » du protocole. Verus détenait, selon DefiLlama, près de 100 millions de valeur verrouillée au début de 2025.