Le marché des cryptomonnaies a de nouveau été confronté à des défaillances de ponts entre réseaux. En l’espace de quelques heures, l’AFX et le pont Verus-Ethereum ont accumulé des pertes estimées à US$ 31,69 millions.
D’après Blockaid, l’exploitation contre l’AFX a été identifiée vers 21h30 UTC le 22 juillet. Une seule transaction sur Arbitrum a enregistré la sortie de 24,15 millions de USDC du pont opéré par le protocole de négociation décentralisée.
L’équipe d’AFX a immédiatement interrompu le pont de garde de USDC. Le protocole a souligné que le problème était limité à un composant tiers, sans affecter son infrastructure de négociation, le réseau principal ou le pont natif d’Arbitrum.
Dans les conclusions préliminaires publiées le 24 juillet, l’équipe a indiqué une combinaison d’ingénierie sociale et de compromission d’infrastructure. L’accès aurait commencé dans un environnement de développement, puis atteint des systèmes internes de compilation et de validation.
Tout en vérifiant les soldes et en tentant de récupérer les ressources, l’AFX prépare des mesures correctives. Jusqu’au 24 juillet, aucune annonce n’avait été faite concernant un remboursement terminé ou un plan définitif de compensation.
Quelques heures plus tard, une transaction sur Ethereum a montré que le pont Verus libérait 1.137,4528 ETH ainsi que sept transferts de tokens. Blockaid a estimé ces paiements sans contrepartie, à environ US$ 7,54 millions.
SlowMist a analysé le cas et a conclu que huit retraits avaient été approuvés sans vérification des actifs correspondants. La faille appartient à la même classe de validation entre chaînes exploitée en mai, bien que les mécanismes utilisés aient été différents.
Quant à elle, B² Network a fait état d’une situation différente : l’accès non autorisé a touché l’autorité de mise à jour du contrat de staking. Le réseau a mis le staking en pause pendant les révisions, a affirmé que le problème était contenu et a promis une compensation intégrale.
En alternative, B² a ouvert un canal manuel de déblocage via le Discord officiel, avec des demandes vérifiées traitées en jusqu’à un jour ouvrable. La valeur de la perte n’a pas été révélée, ce qui a laissé l’affaire en dehors du total comptabilisé.
Les trois épisodes ont touché des contrôles qui se situent en dehors du consensus des blockchains : la garde, la comptabilité des ponts et les autorisations de mise à jour des contrats.
