Scroll corrige un bug qui aurait pu permettre aux attaquants de falsifier des retraits
- Scroll a déployé en urgence une correction pour un bug du vérificateur qui aurait permis à un attaquant de finaliser une racine de retrait contrefaite sur Ethereum.
- L'équipe indique que le bug n'a jamais été exploité lors des 748 finalisations.
- Il s'agit de la première mise à jour approuvée uniquement par le multisig 3-of-4 de l'équipe Scroll, plutôt que par son ancien Conseil de sécurité indépendant.
Scroll a corrigé un bug grave qui aurait pu permettre à un attaquant de voler des fonds via son pont.
Scroll affirme que personne n'a exploité ce bug. Cet incident marque également la première correction d'urgence déployée depuis la suppression de son Conseil de sécurité indépendant.
Quel était le bug trouvé dans un contrat Scroll ?
Scroll a publié une correction d'urgence pour un bug découvert dans un contrat appelé ZkEvmVerifierPostFeynman. Ce contrat vérifie les preuves permettant à Scroll de publier de nouveaux états sur Ethereum (ETH).
Le post-mortem de Scroll sur son forum de gouvernance indique que le contrat construisait manuellement son appel au vérificateur Halo2 d'OpenVM et utilisait les quatre premiers octets d'une preuve utilisateur comme libellé pour l'appel. Le vérificateur d'OpenVM possède une fonction nommée verify avec le libellé 0x24270d54. Ainsi, si une preuve commençait par ces quatre octets, l'appel redirigeait vers verify au lieu du chemin normal.
Cette fonction tirait ses valeurs de sources que l'attaquant pouvait contrôler. Un attaquant aurait pu utiliser cette faille pour faire passer une ancienne preuve réelle comme valide pour une nouvelle entrée. Le résultat aurait été une racine d'état fictive et une racine de retrait fictive verrouillées sur Ethereum.
Les versions précédentes étaient sécurisées car leurs vérificateurs ne disposaient d'aucun sélecteur de fonction, ce qui faisait que chaque appel empruntait le chemin normal.
Le contrat corrigé dirige désormais tous les appels via un seul point d'entrée commun. Ainsi, le contrat définit les détails clés plutôt que la preuve elle-même.
Scroll a remercié le hacker éthique ZHOUCHUNGONG, qui a signalé la vulnérabilité le 3 novembre, soit une semaine avant la publication de la correction.
Scroll personne n'a eu l'opportunité d'exploiter la faille. Une attaque utilisant le contrat défectueux aurait nécessité soit le rôle de prouveur autorisé, soit le « mode lot forcé ». Ce dernier ne s'active qu'après sept jours sans finalisation, ce qui ne s'est pas produit.
Scroll a revérifié les 748 finalisations effectuées pendant que le contrat défectueux était encore en production, et a également rejoué 233 finalisations passées sur une copie du réseau principal Ethereum ; toutes ont abouti aux mêmes racines.
Comment Scroll corrigeait-elle auparavant les bugs ?
Par le passé, des tiers supervisaient les correctifs d’urgence de Scroll. Par exemple, en mai 2025, Scroll a déployé un correctif pour son vérificateur FRI et effectué un remplacement de vérificateur en février 2026, toutes deux approuvées par le Conseil de sécurité de Scroll. Le conseil comptait 12 membres, et 9 d’entre eux devaient donner leur accord avant toute action.
Le conseil a été supprimé le 1er juin 2026. Il a été remplacé par une multisignature 3-of-4 gérée par l’équipe de Scroll. Scroll a perdu sa note de décentralisation de niveau 1 et est désormais classé au niveau 0. Fait notable, la multisignature peut mettre à jour les contrats principaux, y compris le pont, sans délai.
Scroll avait initialement proposé la suppression du conseil en avril, arguant que celui-ci coûtait plus qu’il ne rapportait. Certains utilisateurs du forum ont exprimé leur désaccord et se sont interrogés sur la raison pour laquelle Scroll n’avait pas simplement maintenu un conseil plus restreint. Ils se sont également demandés qui approuverait les actions du réseau à l’avenir.
Une proposition a été publiée sur le forum DAO de Scroll le 4 novembre 2026, prévoyant de transformer la chaîne en un réseau privé sur invitation centré sur l’intelligence artificielle, si elle est jamais approuvée. La proposition indique également que le jeton SCR reviendrait sur le réseau principal Ethereum, où les détenteurs pourraient l’utiliser pour voter et effectuer du staking.
Il est à noter qu’en avril de cette année, la valeur totale verrouillée (TVL) de Scroll s’élevait à a diminué d'environ 600 millions de dollars de 2024 à environ $24.3 millions. La TVL est en baisse à environ $6.6 millions selon ce rapport.
Le Le token SCR a également chuté à environ 0,018 $, enregistrant une baisse de près de 99 % par rapport à son sommet de 2024.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Quel était le bug du vérificateur Scroll ?
Le contrat ZkEvmVerifierPostFeynman a transmis les quatre premiers octets d'une preuve fournie par l'utilisateur au vérificateur Halo2 d'OpenVM, et une preuve commençant par le sélecteur `0x24270d54` pouvait atteindre une fonction typée qui lisait des valeurs publiques contrôlées par l'appelant, permettant à une ancienne preuve de finaliser n'importe quelle racine d'état et de retirer la racine.
Le bug a-t-il déjà été exploité sur Scroll ?
Non. Selon Scroll, l'exploitation nécessitait le rôle de prouveur autorisé ou le mode lot imposé, aucun des deux n'étant survenu, et les 748 finalisations effectuées pendant que le vérificateur vulnérable était actif ont utilisé des preuves régulières sans préfixe malveillant.
Pourquoi Scroll a-t-il perdu sa note Stage 1 ?
L2BEAT a rétrogradé Scroll au Stage 0 après qu'il a supprimé son Conseil de sécurité indépendant (9 membres sur 12) le 1er juin 2026 et l'a remplacé par un multisig 3 sur 4 géré par l'équipe Scroll, qui peut mettre à jour les contrats principaux, y compris le pont, sans délai.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
