Si les ponts inter-chaînes (cross-chain bridges) sont les autoroutes de la DeFi, ils sont aussi les lieux des plus grands « accidents » de son histoire. Entre 2021 et 2024, le montant total volé sur ces ponts a dépassé les 3 milliards de dollars. Ces événements ne sont pas que des termes techniques abstraits ; ils cachent des leçons dont les utilisateurs ordinaires peuvent s'inspirer. Cet article passe en revue plusieurs des affaires de piratage de ponts les plus classiques. Préparation du compte : Site officiel Binance, App officielle Binance, Tutoriel d'installation iOS.
I. Ronin Bridge (Mars 2022, 625 millions de dollars)
Déroulement
Le propre pont Ronin d'Axie Infinity utilisait un multisig de 9 validateurs. Les attaquants ont obtenu 5 de ces clés privées via de l'ingénierie sociale (phishing) et ont signé des retraits massifs.
Leçons
- Seuil de multisig trop bas : Un seuil de 5 sur 9 (55 %) s'est brisé dès la première attaque de phishing.
- Concentration des validateurs : 5 d'entre eux étaient contrôlés par une seule entreprise, Sky Mavis.
- Absence d'alertes de surveillance on-chain : Ce n'est que 6 jours après la disparition de 625 millions de dollars que l'incident a été découvert.
Ce que l'utilisateur doit faire
- Choisissez des ponts avec un multisig supérieur à 7 sur 10, dont les validateurs sont répartis entre plusieurs institutions.
- Surveillez les tableaux de bord en temps réel de la TVL (Total Value Locked) on-chain du pont.
II. Wormhole (Février 2022, 326 millions de dollars)
Déroulement
Le contrat du pont Solana ↔ ETH présentait une faille dans la vérification des signatures. L'attaquant a forgé un message « approuvé » et a créé 120 000 wETH à partir de rien.
Leçons
- Bug dans le code de validation de signature : Une vérification de fonction « deprecated » (obsolète) a été omise lors d'une mise à jour.
- Audit n'ayant pas couvert ce chemin : Le rapport d'audit avait marqué ce module comme étant à « faible risque ».
Ce que l'utilisateur doit faire
- Prêtez attention à tous les modules marqués comme « deprecated » dans les rapports d'audit.
- Évitez d'utiliser un pont dans la semaine suivant une mise à jour.
III. Nomad (Août 2022, 190 millions de dollars)
Déroulement
Après une mise à jour du contrat, la valeur racine (root) par défaut est passée à des zéros, permettant à n'importe qui de falsifier un message authentifié et de retirer des fonds. Une fois la faille découverte, cela s'est transformé en un véritable pillage « free-for-all » sur la chaîne, où des centaines de portefeuilles ont afflué pour se servir.
Leçons
- Erreur d'initialisation : La valeur racine n'a pas été définie après la mise à jour.
- Pillage collectif : Le code open-source a été immédiatement copié pour lancer d'autres attaques.
Ce que l'utilisateur doit faire
- Restez observateur durant la première semaine après la mise à jour d'un pont.
- Configurez des alertes pour les anomalies de TVL.
IV. Harmony Horizon (Juin 2022, 100 millions de dollars)
Déroulement
Multisig de 2 sur 5 ; l'attaquant a simplement eu besoin d'obtenir 2 clés privées pour briser la sécurité.
Leçons
- Seuil de multisig gravement insuffisant.
- Gestion négligente des clés privées : Les développeurs les avaient stockées en clair.
Ce que l'utilisateur doit faire
- Boycottez directement les ponts affichant des seuils multisig faibles comme « 2 sur 5 » ou « 3 sur 5 ».
V. Multichain (Anyswap) (Juillet 2023, 126 millions de dollars)
Déroulement
Le PDG a disparu et a été accusé de détenir toutes les clés privées des ponts, emportant tous les fonds avec lui.
Leçons
- Centralisation extrême : Multisig en apparence, contrôle d'un point de défaillance unique (SPOF) en réalité.
- Équipe opaque : La véritable identité du PDG était floue.
Ce que l'utilisateur doit faire
- Optez pour des ponts ayant une équipe publique et un hébergement décentralisé des clés privées.
- Ne laissez pas de fonds passer la nuit sur un pont centralisé.
VI. Poly Network (Août 2021, 600 millions de dollars, restitués par la suite)
Déroulement
Une faille dans la validation des permissions du contrat a été exploitée, l'attaquant contournant la signature pour appeler directement la fonction de retrait. L'attaquant a par la suite restitué les fonds.
Leçons
- Absence de multi-vérification sur les grandes fonctions de permission.
- White hat vs Black hat, une question de chance : Vous ne serez peut-être pas aussi chanceux la prochaine fois.
Ce que l'utilisateur doit faire
- Sélectionnez des ponts dotés de « timelocks » (verrous temporels) pour les appels de permissions.
VII. Qubit Bridge (Janvier 2022, 80 millions de dollars)
Déroulement
La vérification de l'adresse nulle (zero address) manquait dans le contrat de dépôt. L'attaquant a utilisé un portefeuille 0x000... pour falsifier un dépôt, obtenant ainsi des wETH sur le côté BSC à partir de rien.
Leçons
- Audits bâclés concernant les conditions limites (edge cases).
VIII. Ronin (Piraté de nouveau en 2024, 12 millions de dollars)
Un nouvel incident s'est produit deux ans plus tard. La cause était la fuite des clés privées suite au déploiement d'un nouveau nœud RPC sans frais de gaz.
Leçons
- Ce n'est pas parce qu'un projet a survécu à un désastre majeur qu'il est sécurisé par la suite.
- Continuez de surveiller les dernières actualités en matière d'audit.
IX. Orbit Chain (Janvier 2024, 82 millions de dollars)
Déroulement
Trois des sept validateurs multisig ont signé des transactions suspectes, laissant soupçonner un coup monté de l'intérieur.
Leçons
- Le risque d'initié ne doit jamais être ignoré.
- Multisig ≠ Sécurité totale.
X. Fuites (Rug Pulls) de petits ponts
Chaque année, plusieurs nouveaux ponts lancent un token, fonctionnent pendant un moment, puis disparaissent subitement (rug pull). Leurs points communs :
- Équipes anonymes.
- Rapports d'audit falsifiés.
- Fluctuations extrêmes (hausse puis chute rapide) de la TVL.
XI. Leçons générales : Les 7 règles d'or de l'utilisateur
- Ne laissez pas de gros fonds stationner longtemps sur un contrat de pont.
- Le seuil du multisig doit être suffisamment élevé (≥ 7 sur 10).
- Décentralisation des validateurs (plusieurs institutions).
- Privilégiez les clients légers / les ponts à vérification ZK.
- Audits ≥ 2 cabinets sans faille critique (High) non résolue.
- Surveillez les anomalies de TVL on-chain.
- Attendez 1 semaine après la mise à jour d'un pont avant de l'utiliser.
XII. En conclusion
La nature des affaires de piratage de ponts n'est presque jamais celle d'une « attaque inédite », mais plutôt une répétition de scénarios : fuite de clés privées multisig, erreurs d'initialisation, failles de vérification de signature et malveillance interne. Considérez ces dix cas comme une « liste d'exemples à ne pas suivre ». En les vérifiant point par point la prochaine fois que vous évaluerez un pont, vous pourrez éviter 90 % des pièges.