Le pont Verus–Ethereum perd 7,5 millions de dollars lors d’une deuxième attaque en 66 jours

Le pont Verus-Ethereum a subi une deuxième exploitation le jeudi 23 juillet, des attaquants ayant vidé entre 7,3 millions et 7,5 millions de dollars d’actifs numériques via une demande d’importation malveillamment conçue, selon des chercheurs en sécurité blockchain. La brèche a exploité le même contournement d’autorisation et la même faille d’hypothèse d’état de protocole qui avaient permis une attaque du 17 mai ayant entraîné un vol d’environ 11,6 millions de dollars, portant les pertes totales à environ 19,1 millions de dollars sur 66 jours. Des analystes de sécurité ont identifié la cause première comme une logique de vérification insuffisante : tandis que le pont validait les signatures des notaires, les racines d’état et les preuves Merkle, il n’a pas vérifié que les montants de paiement correspondaient aux actifs verrouillés du côté Verus, permettant des retraits non garantis depuis les réserves Ethereum. L’incident souligne les difficultés de sécurité persistantes dans l’infrastructure des ponts cross-chain, où la vérification cryptographique réussit, mais où la validation de la “business logic” pour le soutien des actifs échoue.

Attaquants exploitent un contournement d’autorisation dans la logique du pont

L’attaque impliquait un import malveillamment conçu depuis le côté Verus, incluant une demande de paiement non adossée sur Ethereum. Le pont a vérifié les signatures des notaires, les racines d’état et les preuves Merkle, mais n’a pas réussi à vérifier que le montant de paiement demandé correspondait aux actifs verrouillés ou exportés du côté Verus, selon des analystes de sécurité.

Backward Labs a indiqué que la cause première était un problème de contournement d’autorisation et d’hypothèse d’état de protocole. Le pont a accepté un import prouvé autorisant des versements de réserves multi-actifs, mais des contrôles en amont critiques pour la création, l’autorisation, le hash de transfert, le décompte et l’adossement économique étaient insuffisants. Une analyse a noté : « Cette fois encore, la même cause première est restée exploitable pendant 66 jours. »

Plusieurs outils de surveillance ont signalé la transaction avec un score critique, citant une manipulation de l’état, une frappe arbitraire (minting) et des sorties de Finance décentralisée (DeFi).

Les réserves du pont perdent ETH, USDC, DAI et six autres actifs

Les actifs vidés dans les réserves du pont incluaient Ether, tBTC, MKR, USDC, Tether, EURC et scrvUSD. Pour DAI, le pont a interagi avec une position de collatéral Sky (anciennement MakerDAO) afin de frapper environ 220 357 DAI pour satisfaire la demande frauduleuse.

La brèche du 17 mai avait volé environ 11,6 millions de dollars en utilisant une méthode similaire, portant les pertes combinées à environ 19,1 millions de dollars.

Backward Labs publie une preuve de concept et une analyse de la cause première

Backward Labs a publié un rapport et une preuve de concept mettant en évidence l’invariant rompu : « Les réserves du pont Ethereum ne peuvent être libérées que pour des transferts de réserves de la chaîne source dont la création CCE, l’autorisation, le hash de transfert, le décompte et l’adossement économique sont tous prouvés selon le cycle de vie attendu du pont. »

L’exploit met en lumière les difficultés de sécurité en cours avec les ponts cross-chain, où la vérification cryptographique réussit, mais où la validation de la “business logic” pour l’adossement des actifs échoue. Les exploits de pont restent un problème récurrent en Finance décentralisée (DeFi), conduisant souvent à des pertes non récupérables, car les transactions blockchain sont immuables.

Questions fréquemment posées

Qu’est-il arrivé au pont Verus-Ethereum le 23 juillet ?
Des attaquants ont exploité une faille de contournement d’autorisation le 23 juillet, vidant entre 7,3 millions et 7,5 millions de dollars d’actifs numériques, notamment ETH, USDC, DAI, tBTC, MKR, Tether, EURC et scrvUSD, via une demande d’importation malveillamment conçue qui a contourné la vérification de l’adossement des actifs.

Pourquoi la même vulnérabilité est-elle restée exploitable pendant 66 jours ?
Le smart contract du pont n’a pas vérifié que les montants de paiement correspondaient aux actifs verrouillés du côté Verus. Bien qu’il ait validé des preuves cryptographiques et des signatures, des contrôles en amont critiques pour la création, l’autorisation, le hash de transfert, le décompte et l’adossement économique étaient insuffisants, permettant à la même méthode d’attaque utilisée le 17 mai de réussir à nouveau le 23 juillet.