Alephium avertit de retirer la liquidité jusqu'à nouvel ordre alors que des pirates ont drainé 815 000 $
- L'attaquant d'Alephium a soutiré des USDT, USDC, WETH, WBTC et WBNB sur les réseaux Ethereum et BNB Chain.
- Alephium a exhorté les fournisseurs de liquidité à retirer leurs fonds des pools ALPH sur Uniswap et PancakeSwap.
- Cet incident s'inscrit dans un mois difficile pour les ponts inter-chaînes, suite à de graves failles impliquant Gravity Bridge, Verus-Ethereum et THORChain.
Des pirates ont drainé environ 815 000 $ du Token Bridge d'Alephium sur Ethereum. Ils ont émis 13,76 millions de tokens ALPH enveloppés à partir de transactions falsifiées, incitant le projet à avertir les fournisseurs de liquidité de retirer leurs fonds immédiatement.
Cet exploit s'ajoute au nombre croissant d'attaques de ponts survenues en mai. Le pont Verus-Ethereum a perdu environ 11,5 millions de dollars dans une attaque le 18 mai, tandis que Cryptopolitan a rapporté plus tôt le 30 mai que le Gravity Bridge a perdu 5,4 millions de dollars, le même jour où le TokenBridge d'Alephium a subi un exploit.
Qu'est-ce qui a rendu l'attaque réussie ?
Le firm de sécurité blockchain Blockaid a détecté l'exploit et a signalé que l'attaquant avait compromis trois des quatre clés de gardien protégeant le pont. Après avoir pris le contrôle d'une majorité de signature, l'attaquant a falsifié des Approbations d'Actions Vérifiées (VAAs), les messages cryptographiques qui autorisent les transferts inter-chaînes.
Selon Blockaid, toute l'opération a pris environ sept minutes. L'attaquant a utilisé les VAAs falsifiés pour émettre 13,76 millions de tokens ALPH enveloppés, ce qui représente plus de 100 % de l'offre enveloppée précédente du token. Des actifs supplémentaires, y compris USDT, USDC, WBTC et WETH, ont été débloqués depuis le contrat de garde du pont.
L'analyste on-chain Specter a signalé que l'attaque a touché à la fois les contrats de pont Ethereum et BNB Chain. Specter a déclaré que l'attaquant a ensuite transféré les fonds volés de BNB Chain vers Ethereum, et une partie a déjà été déposée dans Tornado Cash, selon l'analyse de Specter publiée sur X.
Alephium nie la compromission des clés de gardien
Cependant, Alephium a fourni des mises à jour supplémentaires contestant la soumission de Blockaid, déclarant : « L'exploit n'a PAS été causé par une compromission des clés de gardien, contrairement à certains rapports externes initiaux. »
Selon le protocole, l'exploit a été « causé par une vulnérabilité hors chaîne dans le backend du pont qui pouvait être déclenchée dans des cas limites spécifiques. »
Alephium a détaillé les fonds qui ont été drainés sur Ethereum et BNB, indiquant que 200 967 USDT, 17 594 USDC, 5,18 WETH et 0,335 WBTC ont été pris sur le premier, tandis que 36 750 USDT et 24,386 WBNB ont été pris sur BNB.
Alephium demande aux LP de se retirer
Alephium a également averti toute personne fournissant de la liquidité aux pools ALPH sur Uniswap ou PancakeSwap.
Dans une mise à jour de suivi, la plateforme a donné une raison complète de pourquoi elle a demandé aux utilisateurs de retirer la liquidité, Le 16 juillet ⟦N1⟧, @mztacat revient comme un prophète,, « Parce que le pont a été fermé, l'attaquant ne peut pas racheter ou faire passer ces ALPH enveloppés via le pont Alephium. Nous demandons donc aux utilisateurs de ne pas fournir de liquidité aux pools ALPH sur Ethereum ou BNB Chain, de retirer toute liquidité existante et de ne pas échanger contre ces pools », ajoutant que « Une liquidité ou une activité de trading supplémentaire augmenterait la capacité de l'attaquant à réaliser de la valeur à partir des ALPH enveloppés non autorisés. »
ALPH est actuellement négocié à 0.037 $ avec une capitalisation boursière de plus de 5 millions de dollars, tandis que la valeur totale bloquée (TVL) à travers les protocoles DeFi d'Alephium s'élevait à environ 756 000 $, et il y avait plus de 308 000 $ de TVL enveloppée, selon Les données de DefiLlama.
L'équipe d'Alephium a déclaré qu'elle se concentre actuellement sur les efforts de récupération et de remédiation et a promis de partager plus de mises à jour la semaine prochaine.
Un mois brutal pour les ponts
L'exploit d'Alephium s'ajoute à ce qui est devenu une période éprouvante pour l'infrastructure inter-chaînes.
Le Hack du Gravity Bridge, également rapporté le même jour, a vu 5,4 millions de dollars drainés par ce que les analystes on-chain soupçonnent être une compromission de clé de contrat, selon le reporting de Cryptopolitan.
Environ deux semaines plus tôt, le pont Verus-Ethereum a perdu 11,5 millions de dollars dans un exploit de contournement de vérification, selon la base de données des hacks de DefiLlama. THORChain a également subi une attaque coordonnée de 10 millions de dollars sur Bitcoin, Ethereum, BNB Chain et Base le 15 mai, comme rapporté par Cryptopolitan.
Les ponts inter-chaînes ont connu une augmentation des attaques de la part de mauvais acteurs récemment, et ils ont collectivement perdu plus de 326 millions de dollars en 2026 seulement à mi-mai.
Les protocoles de pont représentent 3,2 milliards de dollars des 16,6 milliards de dollars de valeur totale piratée dans l'histoire de la crypto, selon DefiLlama, une part disproportionnée compte tenu du nombre relativement faible de protocoles de pont par rapport aux autres catégories DeFi.
La vulnérabilité persistante de ces plateformes et la fréquence croissante des attaques d'avril à mai ont rendu le motif difficile à ignorer.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Comment les pirates ont-ils exploité le TokenBridge Alephium ?
L'attaquant a compromis trois clés de gardiennage sur quatre et s'en est servi pour signer des Approbations d'Action Vérifiées falsifiées, permettant de frapper 13,76 million d'ALPH enveloppés sans couverture et de débloquer des USDT, USDC, WBTC et WETH depuis le contrat de garde du pont en environ sept minutes.
Que doivent faire désormais les fournisseurs de liquidité Alephium ?
Alephium a conseillé à tous les utilisateurs fournissant une liquidité aux pools ALPH sur Uniswap ou PancakeSwap de retirer leur liquidité immédiatement et d'éviter toute interaction avec les pools ALPH tant que l'enquête n'est pas conclue.
Les fonds volés ont-ils été blanchis ?
L'analyste on-chain Specter a rapporté que l'attaquant a transféré les fonds volés de la BNB Chain vers Ethereum et déposé une partie dans Tornado Cash, bien que Blockaid ait noté que l'exploiteur détenait toujours les 815 000 $ d'actifs drainés et le ALPH enveloppé non adossé au moment de son rapport.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
