Trois projets crypto ont subi plus de 11 millions de dollars de pertes combinées le 24 septembre, avec Payy Network, Duelbits et Meter Network visés par des méthodes d’attaque distinctes.
À retenir
- Payy Network a perdu environ 1,8 M$ après la vidange de son bridge Ethereum, tandis que Duelbits fait état d’environ 7 M$ de pertes.
- Les attaquants de Meter ont frappé pour environ 2,3 M$ en actifs non collatéralisés, dont une partie a été écoulée via PancakeSwap.
- Ces incidents mettent en lumière des risques sur les bridges, les hot wallets et les systèmes de vérification des tokens.
Les attaques contre Payy et Duelbits
Payy Network, une plateforme on-chain de gestion de paie et de trésorerie, a suspendu son réseau après l’attaque visant son bridge Ethereum (ETH). Le chercheur on-chain Specter a retracé des transferts suspects via ce bridge et indiqué que l’attaquant avait utilisé Railgun pour se financer, avant de convertir environ 1,8 M$ en USD Coin (USDC) vers de l’Ethereum. Payy a précisé que les fonds siphonnés correspondaient à des dépôts non custodiaux appartenant aux utilisateurs de Payy Network et Payy Wallet.
Duelbits a été frappé dans la foulée. PeckShield a d’abord estimé les pertes à 4,3 M$, avant que Specter n’identifie d’autres adresses touchées sur Bitcoin (BTC) et Solana (SOL). L’un des cofondateurs de Duelbits a ensuite chiffré le total à près de 7 M$ et assuré que « les fonds des utilisateurs sont en sécurité ».
L’incident de Meter a suivi une autre mécanique. Selon Blockaid, un attaquant a exploité Meter Passport pour frapper environ 2,3 M$ d’actifs non collatéralisés, avant d’en vendre une partie via PancakeSwap. Dans la foulée, le MTR (MTR) a chuté de près de 80 % et le MTRG (MTRG) d’environ 75 %.
À lire aussi : Rallye potentiel d’Ethereum conditionné par les 2 800 $ après reprise de la moyenne à 200 jours
Le contexte sécuritaire selon Blockaid
Les chercheurs en sécurité soulignent des points de défaillance différents pour chacun des trois cas, plutôt qu’un exploit commun. Payy a indiqué, à l’issue d’une première analyse des causes, que la brèche « n’était PAS liée à une clé compromise, à une attaque de social engineering ou à une vulnérabilité de notre infrastructure off-chain ». Les premiers éléments concernant Duelbits pointent au contraire vers une probable compromission de clé privée. Les conclusions de Blockaid sur Meter se concentrent sur une émission non autorisée de tokens via le bridge.
Ce cluster d’attaques intervient alors que Bitget enquête sur des transferts non autorisés d’actifs initialement évalués à environ 351,6 M$ et a temporairement suspendu les retraits pour effectuer des contrôles de sécurité. Le trading et les dépôts se poursuivent, et l’exchange affirme que les soldes affichés pour les utilisateurs restent corrects. Parallèlement, KelpDAO a porté plainte contre LayerZero et son cofondateur Brian Pellegrino à propos d’un hack de 292 M$, accusant des risques non divulgués et des lacunes technologiques d’être à l’origine de ces pertes.
Les incidents du 24 septembre ravivent aussi des inquiétudes de sécurité déjà soulevées autour de deux des projets touchés. Duelbits avait perdu environ 4,6 M$ dans une attaque survenue en 2024 et attribuée par CertiK à une possible fuite de clé privée, tandis que Meter avait déjà subi en 2022 un exploit de bridge estimé à 4,4 M$.
À suivre : Michael Saylor veut que les banques transforment Bitcoin en collatéral du quotidien
