BNB Token Hub : un pont accepte une preuve qui ne devrait pas exister

Le 6 octobre 2022, un attaquant obtient deux millions de BNB au moyen du pont BSC Token Hub. L’ordre de grandeur dépasse alors le demi-milliard de dollars. Ce n’est pas le même incident que le piratage de Binance d’octobre 2026 : ici, le défaut vise un mécanisme reliant deux chaînes.

Le pont doit vérifier qu’un événement sur un réseau autorise une opération sur l’autre. L’attaquant exploite un défaut de vérification pour faire accepter de fausses preuves de messages. Des BNB supplémentaires peuvent ainsi être débloqués ou créés dans le circuit du pont sans contrepartie légitime correspondante.

Les mouvements anormaux entraînent une mobilisation de l’écosystème. Les validateurs coordonnent une suspension de BNB Smart Chain pour limiter la poursuite de l’exploitation. L’interruption ne supprime pas magiquement les opérations déjà exécutées ni les actifs déjà passés sur d’autres réseaux.

Le bilan doit donc distinguer la valeur des deux millions de BNB concernés et les sommes sorties de la chaîne. BNB Chain évalue les actifs emportés hors de son réseau dans une fourchette d’environ 100 à 110 millions de dollars ; une partie est gelée grâce aux partenaires.

Les équipes corrigent le dispositif et le réseau redémarre. L’identité publique de l’auteur n’est pas établie dans les sources retenues. Le pouvoir de coordonner un arrêt rapide devient aussi un sujet de débat sur la gouvernance et la décentralisation du réseau.

La leçon technique est concrète : un coffre numérique peut rester intact alors que le guichet qui accepte les justificatifs de retrait se laisse convaincre par un faux document.