Un pont cross‑chain reliant le réseau Alephium (ALPH) à Ethereum (ETH) et à la chaîne BNB a perdu environ 815 000 $ en près de sept minutes, après que des attaquants ont réussi à faire passer de faux messages via son backend.
Points clés :
- Des attaquants ont siphonné environ 815 000 $ du TokenBridge d’Alephium sur deux chaînes en à peu près sept minutes.
- Ils ont frappé 13,76 millions de wrapped ALPH non couverts, soit plus que l’ensemble de l’ancienne offre de wrapped du pont.
- Alephium incrimine une faille hors chaîne dans le backend, et non des clés de gardiens volées, et a promis de rembourser les utilisateurs touchés.
Le TokenBridge d’Alephium vidé en un temps record
La société de sécurité Blockaid a d’abord détecté l’attaque le 30 mai, et l’unité de réponse bénévole SEAL 911 a rapidement rejoint l’enquête. L’attaquant a poussé de fausses autorisations de transfert via le TokenBridge sur Ethereum et sur la BNB Chain, a vidé les réserves et a frappé de nouveaux tokens.
L’ensemble de la séquence a duré environ sept minutes.
Sur Ethereum, le voleur a emporté 200 967 Tether (USDT), 17 594 USD Coin (USDC) et de plus petites quantités de Wrapped Ether et de Wrapped Bitcoin, tandis que le côté BNB Chain a cédé 36 750 USDT et 24,386 Wrapped BNB. Le même portefeuille a également frappé 13,76 millions de wrapped ALPH sans qu’aucun ALPH réel ne soit verrouillé en garantie.
Ce butin a dépassé l’ancienne offre totale de wrapped du pont, laissant l’attaquant détenir des pièces créées à partir de rien.
À lire aussi : Cardano Tops Every Major Chain In Stablecoin Growth, Up 61% In A Week
Faille hors chaîne, pas de clés volées
Les premiers récits attribuaient la brèche à la compromission de trois des quatre clés de gardiens, mais Alephium a ensuite déclaré que la véritable cause était un bug hors chaîne dans le backend du pont, et Blockaid a ajusté sa première analyse en conséquence. Le projet fait tourner un fork privé du système de messagerie Wormhole avec seulement quatre signataires, de sorte que la même faille pourrait se cacher dans d’autres ponts construits sur un code similaire.
Ce changement de cause recontextualise entièrement l’incident.
Alephium promet de rembourser les utilisateurs
Alephium a mis à l’arrêt le pont, exhorté les détenteurs à retirer la liquidité des pools ALPH, et promis un plan de récupération pour les utilisateurs dont les coins sont restés verrouillés à l’intérieur. Avec le pont hors ligne, l’attaquant ne peut pas renvoyer le wrapped ALPH non couvert à travers celui‑ci, et les fonds volés restaient immobiles dans le portefeuille au moment de la divulgation. L’équipe affirme qu’elle examine toutes les options pour dédommager entièrement les utilisateurs touchés, un rapport d’autopsie complet étant attendu cette semaine.
Cette brèche prolonge une période difficile pour les ponts cross‑chain, la tuyauterie qui transporte les actifs entre blockchains distinctes.
Une attaque récente contre le Verus-Ethereum bridge drained about $11.58 million, et la technique de messages falsifiés rappelle la perte de plus de 320 millions de dollars subie par Wormhole quelques années plus tôt. Un bilan récent a estimé à plus de 52 millions de dollars la crypto volée en mai dans l’ensemble du secteur.
À lire ensuite : ETH Loses Its Last Floor And Stares Down A Drop Toward $1,800