Trois ponts DeFi vidés en 24 h : le récit complet des attaques du 22-23 juillet 2026

AFX Trade – 24,15 millions de dollars (22 juillet)

L'exploit le plus important a visé AFX Trade, un exchange décentralisé de contrats perpétuels fonctionnant sur Arbitrum . La société de sécurité Blockaid a détecté l'exploit vers 21h30 UTC le 22 juillet 2026 .

L'attaquant a compromis cinq des sept clés de signature à chaud des validateurs du pont. La logique du contrat intelligent en chaîne n'a pas été contournée : cinq signatures de validateurs légitimes ont autorisé le retrait, ce qui signifie que le contrat intelligent a exécuté exactement ce pour quoi il avait été conçu . L'attaquant a drainé environ 24,15 millions de dollars en USDC du pont inter-chaînes d'AFX, a transféré les fonds vers Ethereum et les a échangés contre environ 12 467,5 ETH, consolidant les ETH dans un seul portefeuille .

AFX Trade a réagi en suspendant les opérations du pont, en lançant une enquête avec des experts en sécurité externes et en offrant publiquement au pirate une prime de 30% (environ 7,2 millions de dollars) en échange de la restitution des 70% restants des fonds . Le protocole a déclaré que son infrastructure de trading, son mainnet et ses autres composants n'étaient pas concernés . Offchain Labs, qui développe Arbitrum, a confirmé que le pont natif d'Arbitrum n'avait pas été compromis – seul le pont tiers exploité par AFX l'avait été .

Pont Verus-Ethereum – 7,54 millions de dollars (23 juillet)

Le pont inter-chaînes Verus-Ethereum a été touché vers 03h45 UTC le 23 juillet 2026 . Le vecteur d'attaque était une preuve inter-chaînes falsifiée : l'attaquant a exploité le « chemin d'importation » du pont pour déclencher des paiements côté Ethereum qui n'étaient pas adossés à des actifs verrouillés correspondants sur la chaîne Verus .

Fait crucial, il s'agissait du même chemin d'entrée de contrat et de la même vulnérabilité qu'un exploit de 11,58 millions de dollars en mai 2026 – une faille qui n'avait pas été entièrement corrigée . Après l'attaque de mai, Verus avait récupéré la plupart des fonds via une prime, puis les avait redéposés dans le même pont le 8 juillet 2026 – soit deux semaines seulement avant l'exploit récurrent .

L'attaquant a drainé environ 7,54 millions de dollars dans un mélange d'actifs, dont environ 1 137 ETH, tBTC, USDC, USDT, EURC, MKR et scrvUSD . Les actifs volés ont été convertis en environ 3 916,1 ETH, puis envoyés vers Tornado Cash pour être blanchis . Les sociétés de sécurité Blockaid et PeckShield ont enquêté sur l'incident, qui a suscité de vives critiques concernant la vulnérabilité non résolue .

B² Network – 3,86 millions de dollars (23 juillet)

B² Network, un projet Bitcoin L2 sur BNB Chain, a perdu environ 3,86 millions de dollars dans une attaque détectée par l'analyste en chaîne Specter le 23 juillet (UTC+8) . Contrairement aux deux autres incidents, il ne s'agissait pas d'une brèche cryptographique de pont, mais d'une compromission de clé administrative : l'attaquant a obtenu un accès non autorisé à une autorité de mise à niveau de contrat, ce qui lui a permis de drainer les tokens B2 .

L'attaquant a drainé environ 8,591 millions de tokens B2, les a échangés contre 5 409 WBNB (environ 3,11 millions de dollars), a transféré les fonds vers Ethereum et les aurait acheminés vers Zcash via NEAR Intents . La pression vendeuse due à ce déversement a fait chuter le prix du B2 . B² Network a réagi en suspendant le staking de tokens après la détection de l'accès non autorisé .

Blanchiment via THORChain par le hacker d'AFX Trade

Le 25 juillet 2026 – environ trois jours après l'exploit initial – le hacker d'AFX Trade a commencé à blanchir activement les fonds volés . L'attaquant a utilisé THORChain, un protocole de liquidité inter-chaînes décentralisé, pour échanger des ETH contre des BTC . Cette méthode contourne les exigences KYC des exchange centralisés et est couramment utilisée pour l'obfuscation.

Au moment des rapports publiés le 25 juillet, environ 655 ETH (sur les ~12 467,5 ETH au total) avaient été convertis en environ 18,86 BTC . Les analystes en chaîne Ash et EmberCN ont rapporté que le hacker avait commencé les échanges environ une heure avant la publication des rapports . La majeure partie des ~12 467 ETH restait dans le portefeuille du hacker à ce moment-là, la conversion en BTC via THORChain étant toujours en cours .

Points clés à retenir

• Aucune des trois attaques n'a impliqué de cryptographie brisée – toutes provenaient de clés privées compromises ou de failles logicielles non résolues .
• L'exploit du pont Verus-Ethereum était une répétition d'une vulnérabilité connue de mai 2026, soulignant le risque d'une correction insuffisante après les premiers exploits .
• Les trois attaquants ont suivi un schéma consistant à convertir rapidement les actifs volés en ETH ou BTC et à acheminer les fonds via des outils axés sur la confidentialité (Tornado Cash, THORChain, NEAR Intents) pour brouiller les pistes .
• Les pertes combinées d'environ 35,55 millions de dollars ont porté les pertes liées aux ponts de juillet 2026 à près de 100 millions de dollars, dépassant le total de juin .