Le pont Verus piraté à nouveau pour 7,54 M$ alors qu'une ancienne classe de bug continue de drainer la crypto

Un attaquant a réussi à voler environ 7,54 millions de dollars sur le pont Ethereum de Verus jeudi. C'est la deuxième fois en environ deux mois qu'une exploitation est menée avec succès via ce pont. Il semble que la vulnérabilité découverte plus tôt cette année n'ait jamais été complètement corrigée. Cela montre comment certaines vulnérabilités connues continuent de menacer les systèmes inter-chaînes.

Les ponts inter-chaînes permettent aux utilisateurs de verrouiller des actifs sur une blockchain et d'émettre par conséquent des jetons équivalents sur une autre blockchain. Cependant, la plupart des ponts contiennent des pools de liquidité partagés extrêmement importants. Par conséquent, une seule petite erreur de la part des validateurs peut entraîner des pertes de plusieurs millions de dollars. Selon l'entreprise de cybersécurité blockchain Blockaid, la même chose semble s'être produite dans l'attaque de Verus, avec le même type de bug affectant certains des plus grands piratages de ponts crypto depuis 2022.

Un nouveau coup porté au même contrat

Selon Blockaid, l'assaillant a exploité le mécanisme d'importation du pont pour activer des paiements liés à Ethereum qui ne correspondaient pas aux valeurs réelles sur la blockchain Verus. Le hacker a pu voler des actifs incluant ETH, tBTC, USDC, USDT, EURC, MKR et scrvUSD, avec des pertes totales atteignant environ 7,54 millions de dollars en valeur.

L'attaque s'est concentrée sur le contrat de protocole de pont Ethereum de Verus à 0x7151D8b4A487F3Fcf131fbfAAeD8A5A5F6b97f63 tandis que l'argent a été suivi vers le portefeuille du hacker 0xCFd0A2D0A2E3d74C2A08C96A0A4aE7d58eF92D54.

Les preuves blockchain sont facilement accessibles sur Etherscan. Cela inclut le contrat de pont, le portefeuille de l'attaquant ainsi que la transaction d'exploitation.

L'incident est particulièrement intéressant car il est très similaire à un autre incident survenu en mai 2026, le piratage du pont Verus où 11,58 millions de dollars ont été drainés. Blockaid a déclaré que les deux attaques ciblent le même contrat via la même voie d'importation, ce qui signifie que la vulnérabilité n'a pas été corrigée.

Pourquoi le bug paie des millions pour quelques centimes

Les sociétés de sécurité Halborn et Merkle Science sont également arrivées à la même conclusion sur la base de leurs découvertes après avoir analysé l'attaque précédente.

« La vulnérabilité n'était pas une défaillance cryptographique, mais une validation manquante garantissant que la valeur engagée sur la chaîne Verus correspondait à la valeur libérée sur Ethereum. » — Rob Behnke, Halborn

Selon Halborn, une transaction d'une valeur d'environ 1 centime passerait toujours toutes les signatures du pont et les exigences de preuve de Merkle avant que le contrat intelligent Ethereum ne soit déclenché pour exécuter cette transaction et libérer les actifs valant des millions de dollars.

Selon Merkle Science, la cause du problème a été déterminée comme étant la fonction checkCCEValues dans le code du pont.

« Le pont a échoué à valider que la valeur source correspondait au paiement de destination, permettant à un attaquant de dépenser uniquement des frais minimes tout en retirant des millions. » — Mir Jalal, Merkle Science

L'entreprise a estimé que le problème provenait d'environ 10 lignes de validation Solidity manquantes, ce qui a permis à l'attaquant de convertir environ 10 $ de frais de transaction VRSC en un paiement de 11,58 millions de dollars.

Les deux entreprises ont clairement indiqué que la cryptographie du pont et la preuve de validation fonctionnaient comme prévu. Le problème réel, cependant, était que le contrat ne vérifiait pas que la valeur libérée sur Ethereum était soutenue par les actifs sur la chaîne Verus. Merkle Science a souligné que le même type d'échec de validation était également responsable des exploitations des ponts Wormhole et Nomad en 2022.

Ce que cela signifie pour un marché qui pensait que les ponts étaient plus sûrs

L'incident de Verus se produit à un moment où d'autres voies de la communauté crypto ont connu moins de pertes dues aux attaques de ponts.

Selon les données collectées par TRM Labs, il y a eu un total de 207 attaques de cybersécurité sur la crypto, ce qui est le plus élevé observé sur n'importe quelle période de six mois. En revanche, la perte totale est passée de 2,3 milliards de dollars à 972 millions de dollars pendant la même période en 2025, et le montant médian des piratages a diminué pour atteindre environ 219 000 dollars sur la période actuelle.

La sécurité des ponts a également été renforcée au cours des dernières années. Comme indiqué dans un rapport d'Immunefi, le pourcentage des pertes DeFi liées aux piratages de pont en 2022 s'élevait à 73 %, mais en 2025, ce chiffre n'était plus que de 3 %. Cela indique que la qualité des audits et des conceptions de ponts sur le marché s'est considérablement améliorée.

Néanmoins, la brèche chez Verus révèle que les avancées dans le secteur dans son ensemble ne compensent pas les vulnérabilités existantes non résolues. Un problème qui a été révélé pour la première fois après l'exploitation de mai semble avoir été exploité à nouveau, alimentant le récit selon lequel la gestion des vulnérabilités connues est bien plus essentielle que de supposer qu'elles ne présentent plus de risque.

Verus n’a pas publié de post-mortem officiel concernant l’incident de jeudi. À la suite de l’incident de mai, Merkle Science a demandé aux utilisateurs de s’abstenir d’utiliser le pont jusqu’à ce que la validation défectueuse soit résolue et qu’un auditeur indépendant donne son feu vert. Les utilisateurs doivent faire preuve de prudence et éviter les transferts via le pont jusqu’à ce que le projet confirme que ces travaux sont terminés.