1 milliard de DOT a été créé à partir de rien, mais le hacker n'a gagné que 230 000 dollars
Auteur : Zhou, ChainCatcher
Le 13 avril à 10 heures, heure de Pékin, la plateforme de surveillance on-chain a émis des alertes : il y avait une émission anormale d'actifs bridgés sur le réseau Ethereum depuis Polkadot.
Selon une analyse de CertiK, l'attaquant a soumis une demande inter-chaînes soigneusement élaborée au contrat HandlerV1 sur le côté Ethereum via le protocole ISMP de Hyperbridge, accompagnée d'une preuve MMR réelle historiquement acceptée, contournant avec succès le mécanisme de vérification.
BlockSec Phalcon a ensuite publié une alerte technique, classant cette vulnérabilité comme une vulnérabilité de répétition de preuve MMR. Selon leur analyse, la racine de la vulnérabilité réside dans le fait que la protection contre la répétition du contrat HandlerV1 ne vérifie que si le hachage d'une certaine demande a été utilisé auparavant, mais le processus de vérification de la preuve ne lie pas la charge utile de la demande soumise à la preuve vérifiée.
Cette lacune logique a permis à l'attaquant de répéter une preuve historiquement valide et de l'associer à une demande malveillante nouvellement construite, exécutant ainsi l'opération ChangeAssetAdmin via le chemin TokenGateway.onAccept(), transférant les droits d'administration et de création du contrat DOT enveloppé sur Ethereum (adresse : 0x8d...8F90b8) à une adresse contrôlée par l'attaquant.
Selon les données on-chain, après avoir obtenu les droits de création, l'attaquant a créé 1 milliard de DOT bridgés, ce qui représentait environ 2805 fois l'offre en circulation rapportée d'environ 356 000 de ce jeton sur Ethereum à l'époque.
Par la suite, l'attaquant a échangé tous les jetons contre environ 108,2 ETH via le routeur Odos et le pool de liquidité Uniswap V4, les transférant vers le compte externe de l'attaquant, réalisant un bénéfice d'environ 237 000 dollars en fonction du prix à ce moment-là, l'ensemble de l'attaque n'ayant coûté qu'environ 0,74 dollar en frais de gaz.
BlockSec Phalcon a également mentionné qu'il y avait eu une attaque précédente utilisant la même méthode, ciblant les jetons MANTA et CERE, entraînant une perte d'environ 12 000 dollars. La perte totale des deux attaques s'élevait à environ 242 000 dollars.
Après l'incident, les principales bourses sud-coréennes Upbit et Bithumb ont annoncé la suspension des services de dépôt et de retrait pour les DOT et le réseau AssetHub Polkadot afin de prévenir les risques potentiels de faux dépôts.
Les responsables de Polkadot ont déclaré que cette vulnérabilité n'affecte que les DOT bridgés à Ethereum via Hyperbridge et n'impacte pas les actifs DOT au sein de l'écosystème Polkadot ou les DOT transférés par d'autres ponts inter-chaînes. Polkadot et ses parachains, ainsi que les DOT natifs, restent sécurisés et non affectés. Actuellement, Hyperbridge a été suspendu pour enquêter sur le problème.
Il convient de mentionner que bien que l'échelle de création ait atteint 1 milliard, la perte réelle était bien inférieure à la valeur théorique. En raison de la liquidité on-chain extrêmement limitée des DOT enveloppés sur Ethereum, la vente concentrée de 1 milliard de jetons a instantanément fait chuter le prix des DOT enveloppés de 1,22 dollar à 0,00012831 dollar, une baisse de 99,98 %, rendant la plupart des jetons inefficaces pour la liquidation.
Selon les données de CoinMarketCap, le prix du jeton natif DOT a également brièvement chuté de près de 5 % en raison du sentiment du marché.
Les utilisateurs sur X ont déclaré candidement que qui aurait pensé que le mythe inter-chaînes DOT, qui se tenait autrefois aux côtés d'Ethereum, exploserait sur les réseaux sociaux de cette manière. Les ponts inter-chaînes sont redevenus le "talon d'Achille" du monde de la crypto, se transformant d'un domaine auparavant négligé en une scène de dévastation. Lorsque 1 milliard de DOT est apparu de nulle part, tous les indicateurs techniques sont devenus sans valeur.
Certains utilisateurs ont plaisanté en disant que la faible liquidité a sauvé Polkadot cette fois, maintenant la perte réelle autour de 237 000 $.
Cependant, la faible liquidité des actifs transférés, tout en limitant les profits du hacker, a exposé les vulnérabilités potentielles de la couche d'interopérabilité inter-chaînes.
Il est rapporté que Hyperbridge, développé par Polytope Labs, est un projet d'interopérabilité inter-chaînes au sein de l'écosystème Polkadot, qui s'est longtemps appuyé sur des preuves cryptographiques au lieu de comités de signatures multiples comme mécanisme de sécurité principal, se positionnant comme une infrastructure inter-chaînes minimisée en matière de confiance. Le projet avait précédemment souligné sa résistance aux attaques de ponts courantes.
Mais cet incident peut indiquer que l'intégrité du mécanisme de preuve cryptographique à elle seule n'est pas suffisante pour garantir la sécurité ; la logique d'implémentation spécifique du contrat Gateway du côté d'Ethereum constitue également une surface d'attaque.
D'un point de vue plus large, cet incident reflète la situation de sécurité sévère en cours dans la DeFi depuis 2026. Plusieurs attaques significatives ont eu lieu cette année, y compris Venus générant 2,15 millions de dollars de mauvaises créances en raison de manipulation des prix, Resolve sur-mintant 80 millions de USR, et Drift étant piraté pour plus de 285 millions de dollars d'actifs, avec diverses méthodes d'attaque et un large éventail de zones touchées.
Prendre le contrôle des droits de minting pour une émission illimitée n'est pas un nouveau modèle d'attaque. Cependant, en raison de la liquidité extrêmement faible de Hyperbridge, les pertes ont été étonnamment minimisées.
Selon les données de CertiK, il y a eu 46 incidents de sécurité enregistrés rien qu'en mars, avec des pertes totales d'environ 39,8 millions de dollars, marquant le plus haut record mensuel depuis novembre 2024. CertiK a également souligné que la fréquence d'exploitation des vulnérabilités du code a augmenté, possiblement liée à la montée des outils de découverte de vulnérabilités assistés par l'IA.
L'augmentation de la fréquence des attaques pousse également l'industrie à réexaminer les limites de la sécurité et de la réglementation. Le directeur de la stratégie de Circle, Dante Disparte, a précédemment appelé les protocoles, les portefeuilles, les échanges et les émetteurs de stablecoins à considérer la sécurité et la responsabilité comme une obligation partagée en réponse à l'incident de vol du protocole Drift, suggérant que les protocoles DeFi pourraient développer des mesures de protection technique en chaîne en référence aux mécanismes de coupe-circuit du marché traditionnel et promouvoir une législation pertinente pour intégrer les droits de propriété et les normes de protection de la vie privée financière dans la loi avant que le prochain incident majeur ne se produise.
Vous pourriez aussi aimer

Rapport du matin | Coinbase Ventures réalise son premier investissement dans ENA ; SpaceX prévoit de fixer le prix de son introduction en bourse à 135 $ par action

Texte intégral et analyse du discours du PDG de SanDisk lors de la 42e conférence annuelle sur les décisions stratégiques de Bernstein

Prévision du prix du Bitcoin pour 2030 : Ark Invest anticipe 710 000 $

Prix du SOL aujourd'hui : cours en direct de Solana, graphiques et données de marché

Qu'est-ce qu'un ETF Bitcoin : Spot vs Futures expliqués

Pourquoi le Bitcoin chute de 15 % alors que le Nasdaq atteint des records ?
Qu'est-ce que la TradFi et pourquoi tout le monde en parle en 2026 ?

Rapport du matin | Strategy a vendu 32 BTC et plus de 800 000 actions MSTR la semaine dernière ; Binance a officiellement annoncé son portail de trading d'actions américaines ; Polymarket a conclu un partenariat exclusif avec OneFootball

Bootcamp de trading WEEXPERIENCE en Pologne : comment WEEX et FireCrew rendent le trading crypto accessible à tous

Le sacre de Paris : comment le PSG a brisé le rêve d'Arsenal lors d'une finale de Ligue des champions historique

TaiJi finalise un financement stratégique de 3,5 millions de dollars, avec la participation de Castrum Capital, Becker Ventures et Coinvestor Ventures

Bitcoin stagne près de 73 000 $ ? Comment les traders trouvent des opportunités dans un marché latéral en juin

Comment staker Solana : un guide étape par étape pour 2026

Le prix garanti est désormais disponible sur WEEX : exécutez vos ordres avec une plus grande précision

Dernières recherches de la BRI : L'avenir des stablecoins et le paysage monétaire mondial

Entretien avec l'expert macro Raoul Pal : La course à l'IA mène à une « singularité économique », ne lâchez pas vos jetons trop facilement au cours des quatre prochaines années

Pourquoi Peter Thiel, l'homme derrière Palantir, prépare-t-il une sortie en Argentine ?

