L'affaire de vol la plus absurde ? Un hacker a forgé 1 milliard de dollars en $DOT, mais a seulement volé 230 000 dollars pour « cette raison »

Les incidents d’attaques de cryptomonnaies sont de plus en plus fréquents, mais il y a peu d’exemples comme celui-ci de « prendre de gros risques pour gagner peu ». Ce matin (13), un hacker a exploité une faille dans le pont inter-chaînes Hyperbridge, créant de toute pièce 1 milliard de tokens Polkadot (DOT) sur Ethereum, d’une valeur nominale de 1,19 milliard de dollars. Cependant, lorsqu’il a tenté de vendre ces tokens, en raison d’une liquidité extrêmement faible, il n’a pu obtenir qu’environ 237 000 dollars en Ether. Il est important de préciser que l’attaque visait le « contrat intelligent du pont inter-chaînes », donc les tokens DOT natifs sur le réseau principal de Polkadot n’ont pas été affectés. La principale cause de cette vulnérabilité réside dans le fait que le contrat EthereumHost de Hyperbridge n’a pas correctement vérifié l’authenticité du message lorsqu’il a transmis l’information au TokenGateway.

Bridged $DOT (@Polkadot) vient d’être exploité sur @ethereum.

Le contrôle a été transféré au contrat de l’attaquant, puis 1 milliard de $DOT ont été créés et immédiatement vendus. Le prix a chuté de 1,22 $ à une fraction de cent.https://t.co/ECDT0RaHE9 pic.twitter.com/WUwxjtsNwr

— Onchain Lens (@OnchainLens) 13 avril 2026

Les ponts inter-chaînes sont depuis toujours l’un des maillons les plus vulnérables de l’architecture blockchain, car ils détiennent le contrôle de gestion des contrats de tokens. Si le mécanisme de vérification est compromis, un hacker peut facilement obtenir le pouvoir de créer une quantité infinie de tokens. Méthodes d’attaque : falsification de messages, prise de contrôle de la gestion, création illimitée de tokens Le suivi sur la blockchain montre que le hacker a soumis un message falsifié via dispatchIncoming, qui a été accepté par le système et dirigé vers TokenGateway.onAccept. Normalement, le système aurait dû vérifier la véracité de ce message en se basant sur l’état de la chaîne Polkadot, mais le mécanisme de vérification a enregistré la valeur de la promesse comme étant « zéro », ce qui signifie que la procédure de vérification a été totalement contournée ou n’a pas existé. Le système a alors considéré ce faux message comme une instruction légitime. Le message accepté a immédiatement déclenché la fonction changeAdmin du contrat de tokens Polkadot, transférant le contrôle administratif à l’adresse de l’attaquant. Après avoir obtenu ce contrôle, l’attaquant a créé 1 milliard de DOT en une seule transaction, puis, via Odos Router V3, a injecté ces tokens dans la pool DOT-ETH de Uniswap V4. Après plusieurs échanges à des prix légèrement différents, il a finalement retiré environ 108,2 ETH. « La faiblesse de la liquidité » devient une barrière de protection Dans le monde financier, la « faiblesse de la liquidité » est souvent le cauchemar des gros investisseurs, mais ironiquement, cette fois, la faible liquidité a agi comme un bouclier invisible, limitant considérablement le profit potentiel du hacker. Étant donné que la profondeur de liquidité du DOT sur Ethereum est très limitée, elle ne peut pas absorber ces 1 milliard de tokens créés de toute pièce. Lorsqu’il a voulu vendre rapidement pour encaisser, la chute drastique des prix a fait que la valeur réelle de chaque token est tombée à moins d’un centime. Dans un pont avec une liquidité plus profonde ou une valeur plus élevée, la même faille aurait pu causer des pertes des dizaines de fois supérieures. Au moment de la rédaction, le prix du DOT est d’environ 1,17 dollar, en baisse de 5 % au cours des 24 dernières heures. Cet incident démontre une fois de plus que, même si un hacker détient le pouvoir de créer des tokens à l’infini, la réussite de l’arbitrage dépend finalement de la liquidité et de la profondeur du marché. L’organisme de sécurité blockchain CertiK a confirmé cette attaque, précisant que le hacker a réalisé un profit d’environ 237 000 dollars en créant et en vendant ces tokens de pont. Jusqu’à présent, Hyperbridge n’a pas publié de déclaration officielle concernant cet incident.

#CertiKInsight 🚨

Nous avons constaté une exploitation du contrat de passerelle @hyperbridge. https://t.co/h27iDm1JGd

L’attaquant a réussi à passer un message falsifié pour changer l’administrateur du contrat de tokens Polkadot sur Ethereum et a profité d’environ $237K en créant et en vendant 1 milliard de tokens.

Restez… pic.twitter.com/3t2n4uq5hy

— CertiK Alert (@CertiKAlert) 13 avril 2026