Je viens de tomber sur une chaîne qui s’est directement arrêtée. Une transaction a fait apparaître 2 millions d’AUSD comme par magie ; en quelque 7 minutes, environ 2,65 millions de dollars de vrais fonds ont été retirés du bridge.
Hier soir, vers 23 h, heure de Pékin, quelqu’un a signé une transaction sur Initia et créé de toutes pièces 2 millions d’AUSD non garantis. À peine 153 secondes plus tard, un message inter-chaînes a libéré 1,4 million de véritables AUSD côté Ethereum. En un peu plus de 7 minutes au total, environ 2,65 millions de dollars sont revenus sur Ethereum ; sur le même chemin, l’attaquant a également emporté quelque 105 ETH et 1,08 million d’USDC. Il a fini par convertir les fonds en environ 1 135 ETH, soit près de 2,73 millions de dollars, puis les a laissés dans un nouveau portefeuille. À 15 h 41 UTC, l’équipe a arrêté la L1 et tous les rollups. Le cofondateur a attribué la cause première à une vulnérabilité zero-day dans leur propre MoveVM. Le token natif INIT, lui, semble épargné pour le moment. Les stablecoins du bridge, eux, avaient déjà servi de carburant avant l’arrêt de la chaîne.
Même après en avoir vu beaucoup, ce genre d’affaire laisse sans voix. On fabrique un faux billet, le bridge l’échange contre du vrai au cours affiché, et au bout du compte, quelqu’un finit toujours par payer la différence.
Hier soir, vers 23 h, heure de Pékin, quelqu’un a signé une transaction sur Initia et créé de toutes pièces 2 millions d’AUSD non garantis. À peine 153 secondes plus tard, un message inter-chaînes a libéré 1,4 million de véritables AUSD côté Ethereum. En un peu plus de 7 minutes au total, environ 2,65 millions de dollars sont revenus sur Ethereum ; sur le même chemin, l’attaquant a également emporté quelque 105 ETH et 1,08 million d’USDC. Il a fini par convertir les fonds en environ 1 135 ETH, soit près de 2,73 millions de dollars, puis les a laissés dans un nouveau portefeuille. À 15 h 41 UTC, l’équipe a arrêté la L1 et tous les rollups. Le cofondateur a attribué la cause première à une vulnérabilité zero-day dans leur propre MoveVM. Le token natif INIT, lui, semble épargné pour le moment. Les stablecoins du bridge, eux, avaient déjà servi de carburant avant l’arrêt de la chaîne.
Même après en avoir vu beaucoup, ce genre d’affaire laisse sans voix. On fabrique un faux billet, le bridge l’échange contre du vrai au cours affiché, et au bout du compte, quelqu’un finit toujours par payer la différence.