Piratage Hyperbridge : 1 Milliard de Faux DOT sur Ethereum

Une vulnérabilité dans Hyperbridge a permis la création d'un milliard de faux jetons DOT sur Ethereum

Un attaquant a exploité une faille dans le contrat du pont cross-chain Hyperbridge reliant Polkadot à Ethereum, générant un milliard de jetons DOT contrefaits et réalisant un profit de 237 000 $. L'incident n'a pas affecté le réseau principal Polkadot, mais a entraîné des restrictions temporaires sur plusieurs grandes bourses de cryptomonnaies.

Mode d'exploitation de la vulnérabilité

Un bogue dans le contrat intelligent de la passerelle a permis à l'attaquant de falsifier des messages internes, lui donnant accès aux fonctions administratives du jeton DOT sur Ethereum. Dès qu'il a pris le contrôle, le pirate a frappé un milliard de jetons factices conçus pour imiter des actifs transférés depuis Polkadot. Ces jetons ont été immédiatement écoulés sur des bourses décentralisées, faisant chuter leur prix de 1,22 $ à presque zéro.

L'analyse d'Onchain Lens a révélé la séquence de l'attaque : tout d'abord, la propriété du contrat a été transférée à l'adresse de l'attaquant, suivie d'une frappe massive de jetons puis de leur liquidation. Il s'agit là d'un scénario classique d'exploit DeFi, où une validation insuffisante des messages cross-chain crée des vulnérabilités critiques.

Impact sur le marché et les utilisateurs

Bien que la chaîne principale Polkadot soit restée intacte, le prix du DOT a chuté de 4 % — passant de 1,22 $ à 1,18 $ — en raison de la panique des marchés. Les plateformes sud-coréennes Upbit et Bithumb ont suspendu temporairement les dépôts et retraits de DOT par mesure de précaution. Hyperbridge a été complètement désactivé, et l'équipe Polkadot mène une enquête avec l'aide d'experts externes en cybersécurité.

Profit de l'attaquant : ~237 000 $
Jetons créés : 1 milliard de DOT
Baisse du prix du DOT : 4 %
Bourses affectées : Upbit, Bithumb

Sécurité des ponts cross-chain

Des ponts comme Hyperbridge permettent l'interopérabilité entre blockchains en facilitant le transfert d'actifs entre réseaux isolés. Toutefois, ils sont régulièrement visés en raison de la complexité liée à la vérification des transactions inter-chaînes. Selon CertiK, ces vulnérabilités proviennent souvent d'une gestion défaillante des messages, ouvrant la porte à l'émission non autorisée de jetons.

Ces dernières années, plusieurs incidents médiatisés ont eu lieu : le pont Ronin a perdu 625 millions de dollars en 2022, Wormhole a subi une violation de 325 millions de dollars. Ces événements sapent la confiance dans la DeFi et renforcent la demande de protocoles plus sécurisés, notamment via des systèmes multi-signatures ou des preuves à divulgation nulle (zero-knowledge proofs).

Enseignements clés

• L'exploit était limité au DOT sur Ethereum via Hyperbridge ; le réseau principal Polkadot reste sécurisé.
• Les auditeurs de CertiK ont identifié des messages système falsifiés comme cause racine.
• Le gain de 237 000 $ par l'attaquant illustre les risques posés par des vulnérabilités localisées.
• Les bourses Upbit et Bithumb ont imposé des restrictions pour protéger leurs utilisateurs.
• Cet incident accélère les améliorations sectorielles en matière de sécurité des ponts.

Impact sectoriel et perspectives futures

Cet événement souligne la nécessité d'audits rigoureux des ponts reliant des écosystèmes comme Polkadot et Ethereum. Les développeurs privilégient désormais des validateurs décentralisés et des plafonds stricts sur l'émission de jetons. Pour les utilisateurs, il est essentiel de suivre les annonces officielles et d'éviter les solutions de bridging non vérifiées.

À long terme, de telles violations stimulent l'innovation : Polkadot améliore son protocole XCM pour des communications inter-chaînes plus sûres. Les pertes cumulées dues aux exploits de ponts ont dépassé 2 milliards de dollars depuis 2021, poussant les protocoles à consacrer 1 à 2 % de leur TVL à la sécurité.

— Editorial Team