Wormhole : le pont délivre des jetons pour des fonds qui n’ont pas été déposés

Un pont entre blockchains fonctionne en partie comme un dépôt et son reçu. Des actifs immobilisés d’un côté permettent l’émission de leur représentation de l’autre. Le 2 février 2022, Wormhole accepte une opération qui casse ce lien : 120 000 ethers représentés sont créés sur Solana sans dépôt légitime équivalent.

Les analyses identifient un problème dans la validation des signatures des gardiens du pont. Une opération qui n’a pas reçu l’autorisation attendue peut paraître approuvée. L’attaquant transforme alors une reconnaissance erronée du système en actifs qu’il peut déplacer ou échanger.

Une partie importante est ensuite transférée vers Ethereum. Le préjudice est évalué autour de 325 millions de dollars au cours de l’époque. Le chiffre mesure un incident précis ; il ne signifie pas que le réseau Ethereum ou le réseau Solana dans son ensemble a été intégralement pris en main.

Wormhole interrompt son service et corrige la vulnérabilité. Jump Crypto fournit ensuite 120 000 ethers pour rétablir la couverture des jetons. Remettre les réserves à niveau protège le fonctionnement du pont, mais ne signifie pas que l’auteur a volontairement rendu les fonds.

Les mouvements publics permettent aux spécialistes de suivre les actifs et de documenter l’exploitation. Les sources retenues ne permettent pas d’identifier avec certitude un individu responsable. Une adresse observable reste distincte d’une identité civile prouvée.

L’affaire illustre la fragilité d’une promesse : un jeton présenté comme la représentation d’un actif dépend de la capacité du pont à vérifier que cet actif existe réellement au bon endroit.