Les nouvelles de sécurité s’enchaînent aujourd’hui. Ce matin, on parlait à peine d’un coffre-fort sur Avalanche qui s’était fait siphonner environ 1,01 million de dollars à l’aide d’un prêt flash. À 11 h, c’était une prise de contrôle de la gouvernance. Et à midi, voilà le troisième incident : le bridge cross-chain de zkLink sur Ethereum a été attaqué.

Selon la surveillance de Blockaid, l’attaquant a utilisé un relayer public pour injecter une racine de lot falsifiée sur Ethereum, puis faire valider les retraits du contrat de garde L1 de zkLink Nova. Les fonds ont été transférés vers une adresse désignée par l’attaquant. PANews, KuCoin et BBX ont tous rapporté l’incident ce matin, avec des informations concordantes : au moment de la publication, environ 786 000 dollars avaient été dérobés, provenant des deux côtés, de la garde L1 $ETH et du bridge ERC-20. L’attaque était toujours en cours au moment de la publication.

Cette manœuvre peut sembler compliquée, mais en la décomposant, ça se résume à une phrase : le bridge devait attendre la confirmation d’un lot de transactions avant de les autoriser, mais l’attaquant a falsifié le justificatif d’autorisation et le système l’a cru. Il a suivi le processus de retrait prévu par le bridge, sauf que le justificatif était faux. C’est aussi ce qui rend les bridges cross-chain si problématiques : les fonds sont verrouillés dans un contrat et, dès que la vérification est contournée, le retrait s’effectue normalement jusqu’au bout.

786 000 dollars, ce n’est pas énorme comparé aux affaires de bridges où les pertes se chiffrent souvent en centaines de millions, mais ne regardez pas seulement le montant. Trois incidents de sécurité ont déjà été signalés aujourd’hui : un coffre-fort, la gouvernance et un bridge cross-chain. Dans les trois cas, le problème venait du protocole lui-même. Les utilisateurs ont beau se protéger contre le phishing et les faux liens, ils perdent quand même leurs fonds. C’est ça, le plus rageant.

De mon côté, ma règle est simple : le bridge, c’est juste un passage, pas un endroit où laisser ses fonds. Si je dois vraiment faire un transfert cross-chain, je repars juste après et je ne me sers pas du bridge comme d’un portefeuille. Vous faites souvent des transferts cross-chain, ou vous évitez complètement les bridges ?