Hyperbridge met à jour l'exploitation de la perte à 2,5 millions de dollars, admettant une sous-estimation de 10 fois
- Hyperbridge a révisé ses pertes liées à l'exploitation, passant d'environ 237 000 $ à 2,5 millions de dollars.
- L'attaque s'est déroulée en deux phases : un retrait de 245 ETH depuis un contrat TokenGateway, suivi d'une preuve falsifiée ayant permis le minting de 1 milliard de tokens DOT pontés.
- Une grande partie des fonds volés a été tracée on-chain et acheminée vers Binance.
Hyperbridge a passé les trois derniers jours à dire au marché que les dégâts causés par sa perte du 13 avril étaient gérables. Mais dans son rapport de récupération d'aujourd'hui, le 16 avril, il a révélé que l'estimation initiale de la perte, calculée à 237 000 $, était en réalité d'environ 2,5 millions de dollars.
Cette recalcul proche de 10 fois a élevé la gravité de l'exploitation de plusieurs niveaux, d'autant plus qu'il s'agit d'un incident multi-chaînes sans calendrier de récupération en vue. Cela s'ajoute à la blague du 1er avril d'Hyperbridge qui affirmait avoir été piraté par le groupe Lazarus.
Comment $237,000 est devenu $2.5 millions ?
Le chiffre de 237 000 $ circulant sur les sources d'information était basé uniquement sur la perte observable des tokens Polkadot (DOT) bridgés sur Ethereum. Il s'est avéré que ce n'était que la partie la plus visible d'une attaque qui était déjà en cours depuis près d'une heure avant la disparition des 237 000 $.
Selon le rapport complet d'Hyperbridge sur la récupération post, l'exploitation s'est déroulée en deux phases. La première phase était une extraction silencieuse, déplaçant près de 245 ETH depuis un contrat TokenGateway connexe avant le début de la deuxième phase.
Une heure plus tard, un faux message inter-chaînes a contourné la logique de vérification des preuves Merkle Mountain Range d'Hyperbridge, donnant ainsi au pirate le contrôle administratif sur le contrat de token DOT bridgé et lui permettant de frapper environ 1 milliard de tokens DOT bridgés, qui ont ensuite été déversés sur d'autres échanges décentralisés.
La cause racine confirmée de l'attaque, telle qu'identifiée par BlockSec Phalcon était une vérification des bornes manquante dans la fonction VerifyProof() du contrat Handler V1 d'Hyperbridge, écrit il y a plus de deux ans.
Le chiffre initial de 237 000 $ ne tenait pas non plus compte des pertes provenant des pools d'incitation fonctionnant sur les quatre chaînes EVM affectées.
Après qu'Hyperbridge a enregistré toute l'activité de l'attaquant sur Ethereum, Base, BNB Chain et Arbitrum, la structure en deux phases de l'attaque ainsi que les pertes associées aux pools ont révisé le total initial à environ 2,5 millions de dollars, évalués en ETH et DOT au moment de la piraterie.
Une blague du 1er avril qui ne pouvait pas paraître pire a posteriori
L'exploitation d'Hyperbridge survient exactement douze jours après qu'Hyperbridge a publié une blague du 1er avril affirmant que le groupe Lazarus nord-coréen avait volé 37 millions de dollars au protocole. L'annonce était liée à un article de blog supprimé expliquant « Pourquoi HyperBridge ne peut pas être piraté ».
Historiquement, Hyperbridge s'est positionné comme une couche d'interopérabilité basée sur la preuve, offrant une sécurité de nœud complet pour les ponts inter-chaînes, qui était exactement le mécanisme utilisé par la piraterie du 13 avril pour s'infiltrer.
Dans son mise à jour d'aujourd'hui, l'équipe d'Hyperbridge a abordé cela directement, sans fléchir : « Ce que cette exploitation a clairement montré, à un coût élevé, c'est que la logique de vérification doit faire l'objet d'audits et de tests adversariaux plus fréquents à chaque couche de la pile. »
Quand les utilisateurs d'Hyperbridge peuvent-ils s'attendre à une compensation ?
Hyperbridge a désormais confirmé qu'une grande partie des fonds volés a été tracée on-chain vers Binance, mais il a déclaré qu'il ne révélerait pas de détails spécifiques pour ne pas compromettre l'enquête en cours.
Le protocole a également divulgué ce qui se passerait si la récupération échouait. Si les utilisateurs affectés ne sont pas indemnisés par d'autres canaux, Hyperbridge s'engage à une allocation structurée de tokens BRIDGE pour couvrir la perte résiduelle.
Le calendrier de distribution et les détails de valorisation seront divulgués le 13 avril 2027, un an après l'exploitation.
Les opérations de Token Gateway resteront suspendues jusqu'à ce que trois conditions soient remplies : la vulnérabilité est entièrement corrigée, le correctif a été audité indépendamment avec le rapport rendu public, et des sauvegardes supplémentaires sont opérationnelles.
L'Intent Gateway d'Hyperbridge et les produits construits dessus ne sont pas affectés par l'exploitation et continuent de fonctionner normalement.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
