Comment un bug de validation a permis le hack du bridge Verus–Ethereum (11,6 M$)

Les bridges « cross‑chain » permettent de déplacer des actifs entre différentes blockchains. Mais ils concentrent aussi beaucoup de valeur et de complexité technique — ce qui en fait des cibles privilégiées pour les pirates. Le 18 mai 2026, le bridge reliant Verus et Ethereum en a donné une nouvelle illustration lorsqu’une faille de validation a permis de détourner environ 11,58 millions de dollars en crypto‑actifs. L’incident s’est finalement conclu par un accord : la majorité des fonds a été restituée, tandis que l’attaquant a conservé une part comme prime.

Ce qui s’est passé lors de l’attaque du bridge Verus–Ethereum

Le piratage visait le bridge qui permet de transférer des actifs entre la blockchain Verus et Ethereum. Selon des chercheurs en sécurité, l’attaquant a soumis un message de transfert cross‑chain falsifié (un « import payload ») que le contrat du bridge côté Ethereum a accepté comme valide. Une fois ce message validé, le contrat a exécuté des transactions qui ont libéré des fonds vers l’adresse de l’attaquant.

Les actifs détournés comprenaient notamment :

• 103,6 tBTC
• 1 625 ETH
• environ 147 000 USDC

Au total, ces actifs représentaient environ 11,58 millions de dollars au moment de l’attaque. L’attaquant a ensuite échangé les jetons contre environ 5 402 ETH, consolidant les fonds dans un seul actif.

Des sociétés de surveillance blockchain comme Blockaid et PeckShield ont détecté l’exploitation en temps réel et ont averti les utilisateurs d’éviter toute interaction avec le bridge.

La faille principale : une vérification cross‑chain manquante

Les analyses techniques indiquent que l’origine du problème se trouvait dans la logique de vérification cross‑chain du bridge. Chaque côté du système effectuait certaines vérifications, mais aucun ne validait un champ critique : la correspondance entre le montant déposé sur la chaîne source et le montant retiré sur Ethereum.

Concrètement :

• Le bridge vérifiait bien la structure et l’authenticité du message cross‑chain.
• Mais il ne confirmait pas que le dépôt sur la chaîne d’origine couvrait réellement le montant retiré sur Ethereum.

Cette omission a permis à l’attaquant de fabriquer un message techniquement valide mais demandant un paiement bien plus élevé que le dépôt réel. Les chercheurs décrivent ce bug comme une petite faille logique — corrigeable avec quelques lignes de code Solidity — mais aux conséquences majeures.

Point important : l’attaque n’a pas impliqué de clés privées compromises, ni de cryptographie cassée, ni de contournement de signatures. Il s’agissait uniquement d’un problème de validation logique dans le code du bridge.

Combien a été volé — et combien a été récupéré

L’attaque a initialement vidé environ 11,58 millions de dollars des réserves du bridge.

Peu après, l’équipe Verus a proposé un accord : si l’attaquant retournait la majorité des fonds dans un délai court, il pourrait conserver une partie comme récompense.

Résultat final :

• 4 052,4 ETH restitués à l’équipe Verus (environ 8,5 millions de dollars)
• 1 350 ETH conservés par l’attaquant comme prime (environ 2,8 millions de dollars)

Au total, environ 75 % des fonds volés ont été récupérés grâce à cette négociation.

Pourquoi les projets DeFi négocient parfois avec les pirates

La réaction de Verus reflète une tendance croissante dans la finance décentralisée (DeFi). Lorsque les fonds volés restent traçables sur la blockchain, les équipes de protocoles choisissent parfois de négocier directement avec l’attaquant afin de récupérer une partie des actifs.

Cette stratégie peut inclure :

• des messages on‑chain proposant une prime
• des négociations publiques sur les réseaux sociaux
• un délai pour restituer les fonds

Selon certaines analyses de sécurité, ces démarches peuvent améliorer les taux de récupération. Une étude recensant les incidents DeFi indique que plus de 200 exploits ont été enregistrés en 2024, et qu’environ 220 millions de dollars ont été récupérés via des actions « white‑hat » ou des accords négociés — soit environ 15 % des pertes.

Les bridges cross‑chain restent une cible majeure

L’affaire Verus rappelle aussi pourquoi les bridges sont l’un des éléments les plus risqués de l’infrastructure crypto.

Pour fonctionner, un bridge doit vérifier que les événements sur une blockchain sont authentiques avant d’exécuter des transactions sur une autre. La moindre faille dans cette vérification peut permettre de créer ou retirer des actifs sans dépôt réel.

Les chiffres montrent l’ampleur du problème : en mai 2026, huit piratages de bridges avaient déjà entraîné environ 328,6 millions de dollars de pertes cumulées.

La combinaison de réserves de liquidité importantes et d’une logique cross‑chain complexe en fait des cibles particulièrement attractives pour les attaquants.

La leçon principale

Le hack du bridge Verus–Ethereum illustre comment une simple vérification manquante peut ouvrir la porte à une attaque de plusieurs millions de dollars. Un unique contrôle absent a permis à un message falsifié de déclencher des paiements légitimes.

Dans le même temps, la résolution de l’incident montre une réalité pragmatique de la sécurité DeFi : lorsqu’un exploit se produit, les accords de restitution contre prime deviennent souvent un outil d’urgence pour limiter les pertes pendant que les développeurs corrigent la faille et tentent de restaurer la confiance des utilisateurs.