Exploit du pont Taiko : une clé GitHub divulguée à l'origine d'un vol de 1,7 million de dollars

Le 21 juin 2026, le projet Ethereum Layer 2 Taiko a été victime d'une attaque sur son pont (bridge) qui a drainé environ 1,7 million de dollars (jusqu'à 2,2 millions de dollars selon certaines sources). L'attaquant a exploité une clé de signature d'enceinte Intel SGX de Raiko qui avait été accidentellement divulguée sur GitHub . Depuis, l'équipe a annoncé un plan de redémarrage progressif en quatre étapes, confirmé qu'aucun fonds d'utilisateur ne sera perdu, et mis en place des mesures de sécurité, juridiques et de lutte contre les arnaques par hameçonnage.

Comment l'attaque a été menée

La cause première de l'exploitation (exploit) était une clé privée RSA — la clé de signature d'enceinte SGX de Raiko — qui a été involontairement exposée sur GitHub . Cette clé, utilisée par le prouveur Raiko pour signer cryptographiquement les attestations de vérification correcte des blocs, était présente publiquement dans le dépôt taikoxyz/raiko depuis environ deux ans .

Un attaquant a utilisé cette clé divulguée pour enregistrer des prouveurs malveillants et forger des preuves de retrait sur le pont inter-chaînes de Taiko . Plus précisément, il a fabriqué une preuve de message falsifiée qui a été acceptée sur Ethereum L1 sans qu'un événement légitime n'ait été généré sur la chaîne source, lui permettant ainsi de vider les actifs du coffre ERC-20 .

L'exploitation a été détectée pour la première fois par la société de sécurité BlockSec, qui a identifié la clé de signature Raiko exposée sur GitHub comme étant la cause racine . Les actifs volés étaient principalement des USDC et des ETH .

Le plan de redémarrage en quatre étapes

Après que des audits de sécurité indépendants ont confirmé que la voie d'attaque était fermée, Taiko a esquissé une reprise par phases :

Étape 1 — Restaurer l'activité de la chaîne. Remettre le réseau L2 Taiko en ligne et reprendre la production normale de blocs après le déploiement du correctif de sécurité .

Étape 2 — Garantir que les actifs du pont sont entièrement adossés 1:1. Avant la réouverture du pont, l'équipe reconstituera entièrement tous les actifs pontés sous-collatéralisés, rendant les soldes des utilisateurs adossés à 100 % .

Étape 3 — Rouvrir complètement l'activité L2. Permettre la reprise des transactions L2 normales avec l'infrastructure corrigée .

Étape 4 — Débloquer les retraits du pont avec des quotas prudents. Les retraits du pont seront réintroduits progressivement avec des quotas pour maintenir la sécurité pendant la période initiale .

Protection des fonds des utilisateurs et reconstitution des garanties

Taiko a explicitement déclaré que « cet incident n'entraînera aucune perte de fonds pour les utilisateurs » . L'exploit a laissé le pont temporairement sous-collatéralisé. Taiko s'est engagé à reconstituer entièrement la garantie manquante avant la réouverture du pont, garantissant que tous les soldes des utilisateurs sont adossés 1:1 .

L'équipe collabore avec le Conseil DAO de Taiko et le Conseil de sécurité pour coordonner la récupération . Un rapport officiel a également été soumis aux autorités singapouriennes dans le cadre du processus de coopération .

Actions en justice et précautions contre les arnaques par hameçonnage

Taiko travaille en étroite collaboration avec son Conseil de sécurité et ses partenaires de l'écosystème sur l'enquête et a coordonné avec les bourses centralisées pour bloquer les dépôts de TAIKO par mesure de précaution .

L'équipe a exhorté les utilisateurs à retirer immédiatement leurs fonds de tous les ponts déployés sur le réseau Taiko et a averti que les hypothèses de sécurité derrière ces ponts ne pouvaient plus être considérées comme fiables pendant l'incident .

Taiko a également publiquement averti la communauté d'être vigilante face aux arnaques par hameçonnage et aux tentatives d'usurpation d'identité qui suivent souvent les grands exploits, conseillant aux utilisateurs de ne faire confiance qu'aux communications provenant des canaux officiels de Taiko sur les réseaux sociaux .

Le projet poursuit des voies juridiques et d'enquête avec les forces de l'ordre et les partenaires de sécurité pour tracer et potentiellement récupérer les fonds volés, bien que les détails spécifiques de l'affaire n'aient pas été divulgués publiquement .