- Une faille dans un pont inter-chaînes a permis à un attaquant de créer 5 milliards de SYS, soit plus de cinq fois l'offre en circulation, mais les tokens ont ensuite été restitués et détruits.
- Syscoin a évité une crise potentielle de 9 millions de dollars après avoir réussi à récupérer des milliards de tokens frauduleusement créés via un bug d'analyse de transaction.
- Le projet a corrigé la vulnérabilité du pont qui a permis l'exploitation, bien que les transferts inter-chaînes restent suspendus tant que des validations supplémentaires ne sont pas achevées.
L'équipe de Syscoin a récupéré et détruit 5 milliards de jetons SYS qu'un attaquant avait mintés via une faille dans le pont inter-chaînes du projet.
Syscoin a dû brûler les jetons mintés pour ramener son offre à ses niveaux d'avant l'exploitation ; cependant, son pont reste hors ligne.
Comment l'exploitation s'est-elle produite ?
Le L'équipe de Syscoin a déclaré qu'ils ont détecté l'attaque le 7 juin. L'attaque a ciblé un écart entre la façon dont deux couches de l'infrastructure de Syscoin interprétaient les mêmes données de transaction.
Syscoin fonctionne avec une architecture à double chaîne composée d'une chaîne UTXO basée sur Bitcoin et d'une couche de contrats intelligents compatible Ethereum appelée NEVM. Les deux chaînes sont connectées par un pont qui vérifie les preuves de transaction avant de déplacer les jetons entre elles.
Le projet a confirmé dans un rapport technique publié le 15 juin que l'attaquant avait créé une transaction contenant deux engagements d'actifs pointant tous deux vers la même sortie.
Un engagement faisait référence au SYS natif, tandis que l'autre faisait référence à un jeton de test personnalisé créé par l'attaquant.
Syscoin Core et le relais NEVM ont chacun analysé la charge utile ambiguë différemment. Core a traité la transaction comme impliquant le jeton personnalisé.
Le relais l'a lue comme du SYS natif et a ordonné au contrat de coffre-fort de libérer 5 milliards de jetons.
L'attaquant avait testé l'approche en premier avec une transaction de sondage plus petite utilisant un jeton personnalisé différent, selon le rapport technique. L'exploitation principale a suivi avec un second actif personnalisé.
Comment l'équipe de Syscoin a-t-elle pu récupérer les fonds exploités ?
Après avoir tracé les fonds exploités à travers les adresses UTXO, l' équipe de Syscoin a contacté l'attaquant on-chain avec une adresse de récupération et un avertissement selon lequel une escalade auprès des échanges et des actions en justice suivraient si les jetons n'étaient pas retournés.
L'attaquant a renvoyé les 5 milliards de SYS complets, selon les enregistrements on-chain liés dans le rapport technique.
L'équipe a ensuite détruit les jetons. La transaction de brûlage est publiquement visible sur l'explorateur de blocs de Syscoin.
Le 10 juin, Syscoin a publié sur X qu'il avait informé les échanges qu'ils pouvaient rouvrir en toute sécurité les dépôts et retraits de SYS.
Quel est le contexte du marché ?
Les 5 milliards de jetons mintés dépassaient l'offre en circulation légitime de Syscoin d'environ 891 millions de SYS de plus de 5 fois, selon les données de CoinMarketCap.
Ces jetons mintés valaient environ 9 millions de dollars au moment de l'exploitation.
SYS a eu du mal tout au long de 2026. CoinMarketCap liste le jeton à environ $0.0026 avec une capitalisation boursière de 2,3 millions de dollars. Le jeton a diminué de plus de 48 % au cours des 30 derniers jours et de plus de 91 % au cours de l'année dernière.
Les données de DeFiLlama montre que la valeur totale bloquée (TVL) de Syscoin dans les protocoles DeFi est tombée à zéro effectif, avec seulement 14 adresses actives et 73 transactions enregistrées sur une période de 24 heures avant l'incident.
Que a corrigé l'équipe de Syscoin ?
Selon l'équipe de Syscoin, chaque preuve de brûlage de pont doit correspondre à exactement une identité d'actif, et Core et le relais doivent être d'accord sur ce qu'est cette identité.
Le rejette désormais toute transaction de brûlage où les engagements d'actifs sont dupliqués, ambigus ou pourraient se résoudre de manière incohérente entre les couches. Des mises à jour côté Core sont également en cours pour rejeter les affectations d'actifs dupliquées au niveau du consensus.
Le le pont est toujours en pause, car l'équipe de Syscoin a déclaré qu'il est toujours en attente de révision finale. Les dépôts de SYS natif aux échanges ont repris, mais les transferts inter-chaînes via le pont sont fermés jusqu'à ce que l'équipe termine la validation.
Les données de PeckShieldAlert ont montré que 14 exploitations majeures de ponts et inter-chaînes avaient drainé un total de 340,7 millions de dollars au 1er juin 2026. Environ 28,62 millions de dollars ont été perdus dans des exploitations liées aux ponts rien qu'en mai, la plus grande catégorie en valeur monétaire ce mois-là.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Qu'est-ce qui a causé l'exploitation du pont Syscoin ?
L'attaquant a conçu une transaction de destruction UTXO avec deux engagements d'actifs ciblant la même sortie, exploitant le fait que Syscoin Core et le relais NEVM interprétaient différemment le chargement ambigu, selon le rapport technique publié par Syscoin le 15 juin 2026.
Les tokens SYS exploités ont-ils été récupérés ?
Oui. L'attaquant a restitué les 5 milliards de SYS à une adresse de récupération désignée après que l'équipe Syscoin ait tracé les fonds et établi un contact sur la chaîne. Les tokens ont ensuite été définitivement détruits via une transaction de destruction OP_RETURN visible sur l'explorateur de blocs de Syscoin.
Le pont Syscoin est-il à nouveau opérationnel ?
Non. Suite au post-mortem de Syscoin du 15 juin, le pont reste en pause tandis que l'équipe termine l'examen final et la validation de sa correction. Les dépôts natifs de SYS sur les plateformes d'échange ont repris, mais les transferts via le pont inter-chaînes sont toujours fermés.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
