Nomad : la faille est découverte, puis des centaines d’adresses se servent

Le 1er août 2022, les réserves du pont Nomad sont progressivement vidées. Ce système doit transmettre des messages vérifiés entre blockchains. Une modification de configuration fait pourtant accepter des messages qui ne devraient pas être reconnus comme valides.

Le défaut porte sur l’initialisation d’une valeur de confiance. Une absence de preuve peut être traitée comme un état acceptable. L’erreur est particulièrement grave parce qu’elle touche la décision fondamentale du pont : faut-il autoriser la sortie de ces actifs ?

Après les premiers retraits frauduleux, d’autres acteurs comprennent qu’ils peuvent reproduire le principe observé. Plus de 300 adresses participent à l’événement selon le bilan de Nomad. Cela ne signifie pas nécessairement 300 personnes distinctes : une personne peut contrôler plusieurs adresses.

Le montant dérobé dépasse 180 millions de dollars, souvent arrondi à environ 190 millions dans les analyses. La multitude d’opérateurs rend la situation inhabituelle. Certains se présentent comme des personnes ayant mis les fonds à l’abri, d’autres les conservent ou les dispersent.

Nomad interrompt son service, organise une réponse et publie une procédure de retour des actifs. Des fonds reviennent, mais le simple fait de voir une adresse participer ne suffit pas à lui attribuer une intention protectrice. Les restitutions doivent être distinguées du montant total sorti.

Ce casse est moins l’histoire d’un génie solitaire que celle d’une règle défectueuse devenue visible. Lorsqu’une première exploitation révèle une faiblesse réutilisable, l’attaque peut changer d’échelle avant même que la réparation soit disponible.