Trois ponts DeFi vidés en 24 h : le récit complet des attaques du 22-23 juillet 2026

Trois exploits distincts de ponts DeFi ont frappé en l'espace de 24 heures les 22 et 23 juillet 2026, drainant un total d'environ 35,55 millions de dollars sur AFX Trade, le pont Verus-Ethereum et B² Network. Ces attaques n'ont pas brisé de cryptographie : chacune reposait sur des clés compromises ou des failles logicielles non corrigées . Le hacker d'AFX Trade a ensuite utilisé THORChain pour convertir les ETH volés en BTC, tandis que l'attaque du pont Verus exploitait une vulnérabilité déjà utilisée une fois auparavant .

AFX Trade – 24,15 millions de dollars (22 juillet)

L'exploit le plus important a visé AFX Trade, un exchange décentralisé de contrats perpétuels fonctionnant sur Arbitrum . La société de sécurité Blockaid a détecté l'exploit vers 21h30 UTC le 22 juillet 2026 .

L'attaquant a compromis cinq des sept clés de signature à chaud des validateurs du pont. La logique du contrat intelligent en chaîne n'a pas été contournée : cinq signatures de validateurs légitimes ont autorisé le retrait, ce qui signifie que le contrat intelligent a exécuté exactement ce pour quoi il avait été conçu . L'attaquant a drainé environ 24,15 millions de dollars en USDC du pont inter-chaînes d'AFX, a transféré les fonds vers Ethereum et les a échangés contre environ 12 467,5 ETH, consolidant les ETH dans un seul portefeuille .

AFX Trade a réagi en suspendant les opérations du pont, en lançant une enquête avec des experts en sécurité externes et en offrant publiquement au pirate une prime de 30% (environ 7,2 millions de dollars) en échange de la restitution des 70% restants des fonds . Le protocole a déclaré que son infrastructure de trading, son mainnet et ses autres composants n'étaient pas concernés . Offchain Labs, qui développe Arbitrum, a confirmé que le pont natif d'Arbitrum n'avait pas été compromis – seul le pont tiers exploité par AFX l'avait été .

Pont Verus-Ethereum – 7,54 millions de dollars (23 juillet)

Le pont inter-chaînes Verus-Ethereum a été touché vers 03h45 UTC le 23 juillet 2026 . Le vecteur d'attaque était une preuve inter-chaînes falsifiée : l'attaquant a exploité le « chemin d'importation » du pont pour déclencher des paiements côté Ethereum qui n'étaient pas adossés à des actifs verrouillés correspondants sur la chaîne Verus .

Fait crucial, il s'agissait du même chemin d'entrée de contrat et de la même vulnérabilité qu'un exploit de 11,58 millions de dollars en mai 2026 – une faille qui n'avait pas été entièrement corrigée . Après l'attaque de mai, Verus avait récupéré la plupart des fonds via une prime, puis les avait redéposés dans le même pont le 8 juillet 2026 – soit deux semaines seulement avant l'exploit récurrent .

L'attaquant a drainé environ 7,54 millions de dollars dans un mélange d'actifs, dont environ 1 137 ETH, tBTC, USDC, USDT, EURC, MKR et scrvUSD . Les actifs volés ont été convertis en environ 3 916,1 ETH, puis envoyés vers Tornado Cash pour être blanchis . Les sociétés de sécurité Blockaid et PeckShield ont enquêté sur l'incident, qui a suscité de vives critiques concernant la vulnérabilité non résolue .

B² Network – 3,86 millions de dollars (23 juillet)

B² Network, un projet Bitcoin L2 sur BNB Chain, a perdu environ 3,86 millions de dollars dans une attaque détectée par l'analyste en chaîne Specter le 23 juillet (UTC+8) . Contrairement aux deux autres incidents, il ne s'agissait pas d'une brèche cryptographique de pont, mais d'une compromission de clé administrative : l'attaquant a obtenu un accès non autorisé à une autorité de mise à niveau de contrat, ce qui lui a permis de drainer les tokens B2 .

L'attaquant a drainé environ 8,591 millions de tokens B2, les a échangés contre 5 409 WBNB (environ 3,11 millions de dollars), a transféré les fonds vers Ethereum et les aurait acheminés vers Zcash via NEAR Intents . La pression vendeuse due à ce déversement a fait chuter le prix du B2 . B² Network a réagi en suspendant le staking de tokens après la détection de l'accès non autorisé .

Blanchiment via THORChain par le hacker d'AFX Trade

Le 25 juillet 2026 – environ trois jours après l'exploit initial – le hacker d'AFX Trade a commencé à blanchir activement les fonds volés . L'attaquant a utilisé THORChain, un protocole de liquidité inter-chaînes décentralisé, pour échanger des ETH contre des BTC . Cette méthode contourne les exigences KYC des exchange centralisés et est couramment utilisée pour l'obfuscation.

Au moment des rapports publiés le 25 juillet, environ 655 ETH (sur les ~12 467,5 ETH au total) avaient été convertis en environ 18,86 BTC . Les analystes en chaîne Ash et EmberCN ont rapporté que le hacker avait commencé les échanges environ une heure avant la publication des rapports . La majeure partie des ~12 467 ETH restait dans le portefeuille du hacker à ce moment-là, la conversion en BTC via THORChain étant toujours en cours .

Points clés à retenir

• Aucune des trois attaques n'a impliqué de cryptographie brisée – toutes provenaient de clés privées compromises ou de failles logicielles non résolues .
• L'exploit du pont Verus-Ethereum était une répétition d'une vulnérabilité connue de mai 2026, soulignant le risque d'une correction insuffisante après les premiers exploits .
• Les trois attaquants ont suivi un schéma consistant à convertir rapidement les actifs volés en ETH ou BTC et à acheminer les fonds via des outils axés sur la confidentialité (Tornado Cash, THORChain, NEAR Intents) pour brouiller les pistes .
• Les pertes combinées d'environ 35,55 millions de dollars ont porté les pertes liées aux ponts de juillet 2026 à près de 100 millions de dollars, dépassant le total de juin .