Le braquage le plus absurde du monde des cryptomonnaies ? Un hacker a forgé 1 milliard de dollars en DOT, mais n’a réussi à voler que 230 000 dollars

Les hackers ont exploité une vulnérabilité du pont inter-chaînes Hyperbridge pour forger 1 milliard de jetons DOT, d’une valeur faciale de 1,19 milliard de dollars, mais en raison d’une liquidité de marché extrêmement faible, ils n’ont finalement pu encaisser qu’environ 237 000 dollars.

Les attaques contre les cryptomonnaies sont de plus en plus fréquentes, mais des cas comme celui-ci, où l’on prend de gros risques pour peu de gains, sont rares. Ce matin (13), un hacker a exploité une faille dans le pont inter-chaînes Hyperbridge pour forger 1 milliard de jetons Polkadot (DOT) sur Ethereum, d’une valeur nominale de 1,19 milliard de dollars. Cependant, lorsqu’il a tenté de vendre ces jetons, la faible liquidité du marché l’a contraint à ne récupérer qu’environ 23 700 dollars en ETH.

Il est important de préciser que l’attaque visait le « contrat intelligent du pont inter-chaînes », donc les jetons DOT natifs sur le réseau principal de Polkadot n’ont pas été affectés. La vulnérabilité de cette fois provient principalement du contrat EthereumHost d’Hyperbridge, qui n’a pas correctement vérifié la véracité des messages inter-chaînes avant de les transmettre au TokenGateway.

Source : X/@OnchainLens

Les ponts inter-chaînes sont depuis toujours parmi les éléments les plus vulnérables de l’architecture blockchain, car ils détiennent le contrôle des contrats de jetons. Si leur mécanisme de vérification est compromis, un hacker peut facilement obtenir le pouvoir de forger une quantité illimitée de jetons.

Méthodes d’attaque : falsification de messages, prise de contrôle administrative, création illimitée de jetons

Le suivi sur la blockchain montre que le hacker a soumis un message falsifié via dispatchIncoming, qui a été dirigé avec succès vers TokenGateway.onAccept. Normalement, le système aurait dû vérifier la véracité de ce message en se basant sur l’état de la chaîne Polkadot, mais le mécanisme de vérification a enregistré la promesse comme étant « toute zéro », ce qui signifie que la procédure de validation a été totalement contournée ou n’a pas existé. Le système a donc interprété ce faux message comme une instruction légitime.

Le message accepté a immédiatement déclenché la fonction changeAdmin du contrat de jetons Polkadot, transférant le contrôle administratif à l’adresse de l’attaquant. Après avoir obtenu ce contrôle, l’attaquant a forgé 1 milliard de DOT en une seule transaction, puis, via Odos Router V3, a injecté ces jetons dans la pool DOT-ETH de Uniswap V4. Après plusieurs échanges à des prix légèrement différents, il a finalement retiré environ 108,2 ETH.

« La faible liquidité » devient une barrière de protection

Dans le monde financier, la « faible liquidité » est souvent le cauchemar des gros investisseurs, mais ironiquement, cette fois, cette faiblesse a agi comme un bouclier invisible, limitant considérablement le profit potentiel du hacker.

Étant donné que la profondeur de liquidité du DOT sur Ethereum est extrêmement limitée, elle ne peut pas absorber ces 1 milliard de jetons forgés, et lorsque le hacker a tenté de les vendre rapidement, la chute brutale des prix a fait que la valeur réelle de chaque jeton est tombée à moins d’un centime de dollar.

Sur une plateforme avec une liquidité plus profonde ou un actif de valeur plus élevée, la même faille aurait pu causer des pertes des dizaines de fois supérieures. Au moment de la rédaction, le prix du DOT est d’environ 1,17 dollar, en baisse de 5 % au cours des 24 dernières heures.

Cet incident démontre une fois de plus que, même si un hacker possède le « pouvoir de créer des jetons à l’infini », la réussite de l’arbitrage dépend toujours de la liquidité du marché et de la profondeur des échanges. L’organisme de sécurité blockchain CertiK a confirmé cette attaque, indiquant que le hacker a réalisé un profit d’environ 237 000 dollars en forgeant et en vendant les jetons du pont.

Jusqu’à présent, l’équipe officielle d’Hyperbridge n’a pas publié de déclaration publique concernant cet incident.

Source : X/@CertiKAlert

• Cet article est reproduit avec permission de : « BlockCast »
• Titre original : « La plus absurde des attaques ? Un hacker forge 1 milliard de dollars en $DOT, mais ne vole que 23 700 dollars pour cette raison »
• Auteur original : Block Sister MEL