Revue des incidents de sécurité des ponts cross-chain : 10 attaques ayant causé près de 2 milliards de dollars de pertes

Les bridges cross-chain jouent un rôle important dans l'écosystème blockchain, mais les attaques fréquentes exposent également leurs vulnérabilités en matière de sécurité. Cet article passe en revue 10 attaques majeures sur des bridges cross-chain survenues ces dernières années, impliquant un montant total près de 2 milliards de dollars, dont environ 1,55 milliard de dollars a été récupéré ou indemnisé. Ces cas soulignent l'importance de la sécurité des bridges cross-chain et fournissent également une expérience précieuse pour l'industrie.

ChainSwap : 800 000 $ de pertes suite à deux attaques

En juillet 2021, ChainSwap a subi deux attaques en seulement 9 jours, la première entraînant une perte d'environ 800 000 dollars, et la seconde une perte d'environ 8 millions de dollars. La seconde attaque a eu un impact plus large, affectant plus de 20 projets utilisant ChainSwap pour des ponts cross-chain.

Une enquête montre que l'attaque a exploité une vulnérabilité du protocole dans la vérification de la validité des signatures. Pour compenser les pertes, plusieurs projets tels que ChainSwap ont indemnisé les utilisateurs par le biais de snapshots et de réémissions de tokens.

Poly Network : 6,1 milliards de dollars volés récupérés en totalité

En août 2021, le protocole cross-chain Poly Network a subi une attaque de grande envergure, avec des pertes d'actifs totalisant environ 610 millions de dollars sur Ethereum, Binance Smart Chain et Polygon.

Les attaquants ont exploité une vulnérabilité dans la gestion des autorisations des contrats de Poly Network, réussissant à modifier l'adresse des validateurs de la chaîne cible. Bien que l'ampleur de l'attaque ait été énorme, les hackers ont finalement restitué tous les fonds volés. Poly Network les a qualifiés de "hackers éthiques" et les a invités à devenir conseillers en sécurité.

Multichain : 6 millions de dollars de pertes dues à une faille ont été remboursées

En janvier 2022, Multichain a découvert une grave vulnérabilité affectant plusieurs jetons. Bien que la vulnérabilité ait été corrigée, certains actifs des utilisateurs restent à risque. En fin de compte, environ 6,04 millions de dollars d'actifs ont été volés, impliquant 7962 adresses utilisateurs.

L'analyse montre que la vulnérabilité provient de la négligence de Multichain lors de la vérification de la légitimité des tokens envoyés par les utilisateurs. Les autorités ont déjà récupéré près de 50 % des fonds volés et ont proposé une indemnisation pour les utilisateurs dont les autorisations ont été révoquées.

QBridge: 8000 millions de dollars de pertes, seulement 2% remboursés.

En janvier 2022, le pont cross-chain QBridge du protocole de prêt Qubit a été attaqué, entraînant une perte d'environ 80 millions de dollars. L'attaquant a exploité une vulnérabilité dans le traitement des transferts de tokens sur la liste blanche de QBridge, réussissant à frapper une grande quantité de tokens fictifs et à épuiser les garanties de Qubit.

Actuellement, le taux d'utilisation de Qubit a considérablement diminué, 98 % des fonds volés n'ont pas encore été remboursés.

Meter.io : Engagement de compenser 4,4 millions de dollars de pertes avec des revenus futurs

En février 2022, le pont cross-chain Meter Passport a été attaqué, entraînant une perte de 4,4 millions de dollars. Les autorités ont déclaré que le problème provenait de la "mauvaise hypothèse de confiance" dans le code sous-jacent.

Meter avait initialement prévu d'indemniser avec le jeton MTRG, puis a changé pour émettre un nouveau jeton PASS et a promis de racheter avec les bénéfices futurs. Cependant, à ce jour, aucun rachat n'a été effectué.

Ronin : financement complet après le vol de 620 millions de dollars

En mars 2022, la chaîne Ronin derrière Axie Infinity a subi une attaque majeure de 620 millions de dollars. L'enquête révèle que les attaquants ont obtenu un accès au système par des moyens d'ingénierie sociale.

Le développeur Sky Mavis a obtenu un financement de 150 millions de dollars dirigé par Binance pour indemniser les pertes des utilisateurs. À la fin juin, le pont Ronin a été remis en ligne, permettant aux utilisateurs de recevoir une indemnisation. Cependant, en raison de la forte baisse du prix de l'ETH, la valeur réelle des indemnisations a diminué.

Wormhole : 326 millions de dollars de pertes compensées immédiatement

En février 2022, le protocole cross-chain Wormhole a été attaqué, entraînant une perte d'environ 326 millions de dollars. La vulnérabilité provenait d'une erreur de vérification de signature dans le contrat côté Solana.

Jump Crypto a rapidement injecté 120 000 ETH dans Wormhole, compensant ainsi toutes les pertes. Wormhole a rapidement repris ses activités.

EvoDeFi: estimation des pertes de plusieurs millions de dollars non traitées

En juin 2022, en raison de problèmes liés au pont cross-chain EVO DeFi, le USDT de ValleySwap, un DEX sur la chaîne Oasis, a subi une forte déstabilisation. Le montant spécifique des pertes est inconnu, mais on estime qu'il se chiffre en millions de dollars.

La cause de l'incident pourrait être que EVO DeFi a volé des actifs des utilisateurs par une porte dérobée. Les parties concernées sont toutes pressées de se dissocier, et les pertes des utilisateurs n'ont jusqu'à présent reçu aucune solution.

Horizon: Un plan de compensation pour une perte de près de 100 millions de dollars est en cours d'élaboration.

En juin 2022, le pont officiel de Harmony, Horizon, a été attaqué, entraînant une perte d'environ 100 millions de dollars. L'équipe officielle a reconnu que cela pourrait être dû à une fuite de clé privée.

Harmony avait proposé de compenser par l'émission de nouveaux tokens sur 3 ans, mais n'a pas obtenu le soutien de la communauté. Un nouveau plan de compensation est en cours de préparation.

Nomad : 1,9 milliard de dollars volés, une partie des fonds pourrait être récupérée

En août 2022, le pont Nomad a subi une attaque de 190 millions de dollars. L'analyse montre que la vulnérabilité provient d'une mauvaise configuration des paramètres lors d'une mise à niveau de contrat.

L'attaque concerne 1251 adresses, dont les adresses ENS représentent 38 % du montant total. Certains hackers éthiques ont déclaré être prêts à restituer les fonds, mais l'équipe du projet n'a pas encore proposé de plan de remboursement clair.

Résumé

Les ponts cross-chain sont fréquemment attaqués, mettant en évidence leur nature à haut risque. Même les projets de premier plan ont du mal à éviter complètement les problèmes de sécurité. En revanche, les projets ayant des antécédents solides et une forte capacité financière ont de meilleures performances face aux crises, étant plus en mesure de récupérer des actifs ou d'indemniser les utilisateurs.

Il est essentiel de détecter rapidement et de traiter les activités suspectes. Des protocoles tels que Hop et StarGate ont réussi à empêcher des attaques de hackers. La sécurité des bridges cross-chain nécessite encore des efforts continus de la part de toutes les parties de l'industrie, afin de s'améliorer sans cesse.