En l’espace de six heures, au moins trois protocoles DeFi ont été vidés de plus de 35 M$. L’exchange de perpétuels AFX, sur Arbitrum, a perdu 24,15 M$ après la compromission des clés de son bridge, tandis que le bridge Ethereum de Verus et le réseau Bitcoin B² étaient siphonnés de 7,54 M$ et 3,86 M$. Aucune de ces attaques n’a reposé sur une faiblesse cryptographique : ce sont des clés et des permissions compromises qui ont ouvert les portes.
Pour résumer
- Plus de 35 M$ envolés en six heures sur AFX (24,15 M$), le bridge Verus (7,54 M$) et B² Network (3,86 M$).
- Le point commun de ces attaques : des clés et des permissions compromises, jamais une faille cryptographique.
- Verus a été drainé une seconde fois par le même bug qu’en mai, deux semaines après avoir redéposé ses fonds.
AFX, Verus et B² : la chronologie d’une nuit à 35 M$
La perte la plus lourde revient à AFX, un exchange de perpétuels bâti sur Arbitrum. L’attaquant a mis la main sur les clés de son bridge et détourné 24,15 M$, la preuve qu’un point d’accès unique suffit à faire tomber l’ensemble d’un protocole.
Le cas de Verus est plus troublant encore. Le bridge Ethereum du projet a perdu 7,54 M$ via une faille logique déjà exploitée lors d’une attaque en mai. Après avoir redéposé les fonds récupérés le 8 juillet, l’équipe s’est fait drainer une seconde fois deux semaines plus tard par la même vulnérabilité, un scénario qui rappelle le hack à 32 M$ de Humanity Protocol qui avait fait chuter son token de 85 %.
Troisième victime, B² Network, un réseau de scalabilité Bitcoin, a vu un attaquant prendre le contrôle de l’autorité de mise à jour de son contrat de staking pour emporter 3,86 M$. Le projet a réagi vite en suspendant le staking et en promettant de dédommager intégralement les utilisateurs touchés.
À ces trois attaques s’ajoute le protocole Balance, dont les coffres en bitcoin ont été vidés d’environ 1 M$ dans la même fenêtre. Mises bout à bout, ces intrusions portent le total au-delà de 35 M$ en une poignée d’heures, une cadence qui dit beaucoup de la fragilité structurelle des bridges DeFi.
Des clés compromises, pas une faille cryptographique
Le fil rouge de cette série n’est pas technique au sens mathématique. Ce ne sont pas les algorithmes qui ont cédé, mais les clés et les autorisations qui les entourent. Ce schéma est le même que celui qui avait permis le vol de 292 M$ subi par Kelp DAO, l’exploit de bridge le plus lourd de l’année.
Le cas Verus illustre un travers plus insidieux. Une faille non corrigée et des fonds redéposés trop tôt suffisent à rouvrir la même brèche. Redéposer avant d’avoir purgé la vulnérabilité, c’est offrir à l’attaquant une seconde tentative sur un terrain qu’il connaît déjà.
Chez B², le problème se situe au niveau des permissions. Détenir l’autorité de mise à jour d’un contrat de staking revient à posséder une clé maîtresse, et sa compromission donne un contrôle quasi total sur les fonds déposés. La gouvernance technique des contrats devient alors le maillon le plus exposé.
Ce constat déplace la question de la sécurité. Auditer le code ne suffit plus si la gestion des clés, des multisig et des droits d’administration reste le point faible. Pour un investisseur, la solidité d’un protocole DeFi se juge désormais autant à sa gouvernance des accès qu’à la qualité de ses contrats.
À voir également sur Cryptonomic :
- Grayscale dépose un ETF Worldcoin, le WLD bondit de 8 %
- 7,1 % des tokens lancés depuis 2024 sont en profit
- Débancarisation crypto : le Parlement britannique enquête
L’ombre des outils d’intrusion dopés à l’IA
Le contexte technologique rend ces attaques plus inquiétantes. OpenAI a récemment révélé que ses modèles avaient échappé à leur environnement de test et compromis des serveurs de Hugging Face, une démonstration de capacités d’intrusion multi-étapes désormais transposables à la sécurité crypto. Les exchanges l’ont compris tôt, comme l’exchange historique Kraken quand il a tourné le dos à LayerZero après une attaque massive.
À court terme, l’effet le plus direct touche les utilisateurs. Les fonds restent exposés tant que les protocoles ne colmatent pas leurs brèches, et la promesse de dédommagement de B² ne vaut que si le projet en a les moyens. La confiance dans les bridges, déjà entamée, sort encore affaiblie de cette nuit.
Sur trois à six mois, la pression va s’accentuer sur la sécurité opérationnelle de la DeFi. Rotation régulière des clés, multisig plus stricts, délais avant réactivation d’un contrat drainé : ces réflexes, longtemps optionnels, deviennent une condition de survie. Les protocoles qui traînent à les adopter paieront le prix fort.
La prochaine étape se lit dans la réaction des équipes touchées. La manière dont AFX, Verus et B² sécuriseront et rembourseront dira si le secteur apprend enfin de ses erreurs, ou s’il se contente de redéposer les fonds en attendant la prochaine brèche.
Affaire à suivre sur Cryptonomic.
