Comment un bug de validation a permis le hack du bridge Verus–Ethereum (11,6 M$)

Des sociétés de surveillance blockchain comme Blockaid et PeckShield ont détecté l’exploitation en temps réel et ont averti les utilisateurs d’éviter toute interaction avec le bridge.

La faille principale : une vérification cross‑chain manquante

Les analyses techniques indiquent que l’origine du problème se trouvait dans la logique de vérification cross‑chain du bridge. Chaque côté du système effectuait certaines vérifications, mais aucun ne validait un champ critique : la correspondance entre le montant déposé sur la chaîne source et le montant retiré sur Ethereum.

Concrètement :

• Le bridge vérifiait bien la structure et l’authenticité du message cross‑chain.
• Mais il ne confirmait pas que le dépôt sur la chaîne d’origine couvrait réellement le montant retiré sur Ethereum.

Cette omission a permis à l’attaquant de fabriquer un message techniquement valide mais demandant un paiement bien plus élevé que le dépôt réel. Les chercheurs décrivent ce bug comme une petite faille logique — corrigeable avec quelques lignes de code Solidity — mais aux conséquences majeures.

Point important : l’attaque n’a pas impliqué de clés privées compromises, ni de cryptographie cassée, ni de contournement de signatures. Il s’agissait uniquement d’un problème de validation logique dans le code du bridge.

Combien a été volé — et combien a été récupéré

L’attaque a initialement vidé environ 11,58 millions de dollars des réserves du bridge.

Peu après, l’équipe Verus a proposé un accord : si l’attaquant retournait la majorité des fonds dans un délai court, il pourrait conserver une partie comme récompense.

Résultat final :

• 4 052,4 ETH restitués à l’équipe Verus (environ 8,5 millions de dollars)
• 1 350 ETH conservés par l’attaquant comme prime (environ 2,8 millions de dollars)

Au total, environ 75 % des fonds volés ont été récupérés grâce à cette négociation.

Pourquoi les projets DeFi négocient parfois avec les pirates

La réaction de Verus reflète une tendance croissante dans la finance décentralisée (DeFi). Lorsque les fonds volés restent traçables sur la blockchain, les équipes de protocoles choisissent parfois de négocier directement avec l’attaquant afin de récupérer une partie des actifs.

Cette stratégie peut inclure :

• des messages on‑chain proposant une prime
• des négociations publiques sur les réseaux sociaux
• un délai pour restituer les fonds

Selon certaines analyses de sécurité, ces démarches peuvent améliorer les taux de récupération. Une étude recensant les incidents DeFi indique que plus de 200 exploits ont été enregistrés en 2024, et qu’environ 220 millions de dollars ont été récupérés via des actions « white‑hat » ou des accords négociés — soit environ 15 % des pertes.

Les bridges cross‑chain restent une cible majeure

L’affaire Verus rappelle aussi pourquoi les bridges sont l’un des éléments les plus risqués de l’infrastructure crypto.

Pour fonctionner, un bridge doit vérifier que les événements sur une blockchain sont authentiques avant d’exécuter des transactions sur une autre. La moindre faille dans cette vérification peut permettre de créer ou retirer des actifs sans dépôt réel.

Les chiffres montrent l’ampleur du problème : en mai 2026, huit piratages de bridges avaient déjà entraîné environ 328,6 millions de dollars de pertes cumulées.

La combinaison de réserves de liquidité importantes et d’une logique cross‑chain complexe en fait des cibles particulièrement attractives pour les attaquants.

La leçon principale

Le hack du bridge Verus–Ethereum illustre comment une simple vérification manquante peut ouvrir la porte à une attaque de plusieurs millions de dollars. Un unique contrôle absent a permis à un message falsifié de déclencher des paiements légitimes.

Dans le même temps, la résolution de l’incident montre une réalité pragmatique de la sécurité DeFi : lorsqu’un exploit se produit, les accords de restitution contre prime deviennent souvent un outil d’urgence pour limiter les pertes pendant que les développeurs corrigent la faille et tentent de restaurer la confiance des utilisateurs.