Verus Bridge victime d'une deuxième attaque en 66 jours : cette faille porte le montant total des pertes à 19,1 millions de dollars

Une logique défaillante à l’origine de la faille

Le contrat intelligent du pont Verus-Ethereum a de nouveau été exploité jeudi, les pirates ayant dérobé entre 7,3 et 7,5 millions de dollars en divers actifs numériques, selon des chercheurs en sécurité blockchain. Cet incident marque la deuxième exploitation de ce même contrat et de cette même vulnérabilité en deux mois. Le 17 mai, des pirates avaient dérobé environ 11,6 millions de dollars en utilisant une méthode similaire, portant le montant total des pertes à environ 19,1 millions de dollars.

Les analystes en sécurité ont indiqué que l’attaque impliquait une commande « import » malveillante provenant du côté Verus, qui comprenait une demande de paiement non justifiée sur Ethereum. Le pont a vérifié les signatures notariales, les racines d’état et les preuves de Merkle, mais il n’a pas vérifié que le montant du paiement demandé correspondait aux actifs verrouillés ou exportés du côté Verus.

Selon Backward Labs, la cause première résidait dans un contournement de l’autorisation et un problème lié à l’hypothèse d’état du protocole. Le pont a accepté un fichier d’importation validé autorisant des paiements à partir de réserves multi-actifs, mais les vérifications en amont essentielles concernant la création, l’autorisation, le hachage de transfert, le nombre d’unités et la couverture économique étaient insuffisantes. Une analyse a souligné :

« Cette fois-ci, la même cause première est restée exploitable pendant 66 jours. »

Les actifs détournés des réserves du pont comprenaient de l’Ether, du tBTC, du MKR, de l’USDC, du Tether, de l’EURC et du scrvUSD. Pour le DAI, le pont a interagi avec une position de garantie Sky (anciennement MakerDAO) afin de frapper environ 220 357 DAI pour répondre à la demande frauduleuse.

Plusieurs outils de surveillance ont signalé la transaction en lui attribuant un score critique, invoquant une manipulation d’état, une création arbitraire de jetons et des sorties de fonds de la finance décentralisée (DeFi).

Backward Labs a publié un rapport et une preuve de concept mettant en évidence l’invariance enfreinte : « Les réserves d’un pont Ethereum ne peuvent être libérées que pour des transferts de réserves depuis la chaîne source dont la création CCE, l’autorisation, le hachage de transfert, le nombre et la couverture économique sont tous prouvés dans le cadre du cycle de vie prévu du pont. »

Cette faille met en évidence les défis de sécurité persistants liés aux ponts inter-chaînes, où la vérification cryptographique aboutit mais où la validation de la logique métier concernant la couverture des actifs échoue. Les failles de sécurité des ponts restent un problème récurrent dans la DeFi, entraînant souvent des pertes irrécupérables en raison du caractère immuable des transactions sur la blockchain.