Le pont Verus–Ethereum a été vidé pour la deuxième fois en environ deux mois, soulevant des questions inconfortables quant à savoir si une vulnérabilité déjà exploitée une première fois avait réellement été corrigée. La société de sécurité Blockaid a détecté la dernière exploitation du pont Verus–Ethereum et a confirmé qu’un attaquant avait abusé du chemin d’importation du pont pour déclencher des paiements non couverts du côté Ethereum, repartant avec environ 7,54 millions de dollars en ETH, tBTC, USDC, USDT, EURC, MKR et scrvUSD. Tous les actifs volés ont ensuite été convertis en ETH.
Summary
Points clés à retenir
- Le pont Verus–Ethereum a été exploité deux fois en l’espace de deux mois, le dernier vol s’élevant à environ 7,54 millions de dollars.
- Les deux attaques ont abusé du même chemin d’importation du pont et de la même classe de vulnérabilité, déclenchant des paiements non couverts du côté Ethereum.
- L’exploitation de mai a vidé environ 11,5 millions de dollars ; l’attaquant a ensuite rendu 4 052,4 ETH après avoir conservé une prime white-hat de 25 %.
- Les fonds récupérés ont été redéposés sur le pont le 8 juillet — et le pont a de nouveau été vidé peu de temps après.
- La dernière attaque a été menée par un autre attaquant utilisant un nouveau portefeuille, selon Blockaid.
Deuxième exploitation du pont Verus–Ethereum en moins de deux mois
Ce qui rend cet incident particulièrement frappant, ce n’est pas seulement le montant volé, mais aussi le calendrier et la mécanique qui le sous-tendent. Le pont venait tout juste de récupérer la majeure partie des fonds dérobés lors de l’exploitation du 18 mai, qui avait vidé environ 11,5 millions de dollars. Ces actifs récupérés ont été redéposés sur le même pont le 8 juillet. Moins de deux semaines plus tard, un deuxième attaquant a frappé — en utilisant le même contrat, le même chemin d’entrée et la même classe de faille.
Selon Blockaid, le dernier attaquant a opéré à partir d’un nouveau portefeuille et n’avait aucun lien apparent avec l’incident de mai. Les deux exploitations sont liées non pas par l’acteur, mais par l’opportunité : une faiblesse structurelle non résolue qui est restée accessible à quiconque savait où regarder.
Détails du dernier vol de 7,54 millions de dollars
L’exploitation a suivi la même logique mécanique que sa prédécesseure. En manipulant le chemin d’importation du pont, l’attaquant a forcé le côté Ethereum du pont à libérer de vrais actifs contre des demandes qui n’étaient que peu ou pas du tout couvertes du côté Verus. Il en a résulté une vidange multi‑jetons — ETH, Bitcoin tokenisé, un éventail de stablecoins dont USDC, USDT et EURC, ainsi que MKR et scrvUSD — tous siphonnés puis rapidement consolidés en ETH.
Blockaid a signalé l’attaque en temps réel, en notant explicitement que la classe de vulnérabilité était identique à celle exploitée en mai. La détection de la société a mis en évidence que le même contrat de pont et le même chemin d’entrée avaient été utilisés, ce qui pointe vers une faille qui a persisté dans les deux incidents.
Comparaison avec l’exploitation de mai et les attaquants impliqués
L’événement de mai était plus important en valeur brute, avec des pertes d’environ 11,5 millions de dollars. Les actifs volés à ce moment‑là ont été convertis en environ 5 402,4 ETH. Ce qui a suivi était inhabituel dans le domaine de la sécurité crypto : l’attaquant a rendu 4 052,4 ETH, conservant une prime white-hat de 25 % en compensation de l’identification de la faille. L’équipe Verus a accepté cet arrangement, et les fonds retournés ont été redéployés sur le pont le 8 juillet.
Cette décision apparaît aujourd’hui coûteuse. Réintroduire de la liquidité dans un système non corrigé a, de fait, réinitialisé la cible. Le deuxième attaquant — une personne différente, un nouveau portefeuille, mais le même mode opératoire — a exploité la fenêtre avant qu’aucune correction structurelle ne soit mise en place, selon les données on‑chain disponibles rapportées par CoinDesk.
Une vulnérabilité dans le chemin d’importation du pont permet des paiements ETH non couverts
La faille centrale est simple dans son principe, même si elle est dangereuse dans son exécution. Les deux exploitations ont fonctionné parce que le chemin d’importation du pont pouvait être manipulé pour autoriser des paiements du côté Ethereum sans que les actifs correspondants soient correctement verrouillés du côté Verus. Le pont a libéré de l’argent réel contre des demandes qui ne valaient presque rien.
Ce type de faille logique — où le code s’exécute comme écrit mais où les règles elles‑mêmes permettent la sortie de fonds — est distinct d’une rupture cryptographique. Aucun chiffrement n’a été cassé. Le système a été piégé par sa propre logique interne.
Nature de l’exploitation et classe de vulnérabilité commune
Blockaid a confirmé que les deux attaques partageaient la même classe de vulnérabilité. C’est significatif : cela signifie que la faille n’a pas été corrigée entre mai et juillet, et que le redépôt des fonds le 8 juillet a, de fait, rechargé un pont qui portait encore une faiblesse connue et documentée.
L’implication plus large pour l’infrastructure cross‑chain est difficile à ignorer. La sécurité d’un pont dépend entièrement de l’intégrité de son mécanisme de vérification — le processus qui confirme que chaque retrait d’un côté est réellement couvert par des actifs verrouillés de l’autre. Lorsque ce mécanisme présente une faille connue et que des fonds sont redéployés sans correctif confirmé, le système ne se rétablit pas. Il attend.
Impact des failles non résolues sur la sécurité des ponts
Selon des données citées par CoinDesk et issues de DefiLlama, Verus détenait près de 100 millions de dollars de valeur totale verrouillée au début de 2025. Au moment de la dernière exploitation, ce chiffre était tombé à environ 9 millions de dollars — une érosion lente fortement accélérée par les deux piratages.
Cette trajectoire importe au‑delà des seuls montants perdus. Chaque exploitation ne se contente pas de retirer la somme volée ; elle indique aussi aux fournisseurs de liquidité et aux utilisateurs que le système n’est peut‑être pas sûr à utiliser. La fuite de confiance s’ajoute à la fuite d’actifs.
Efforts de récupération et redéploiement des fonds
L’incident de mai a abouti à l’un des résultats les plus inhabituels de l’histoire récente de la sécurité crypto. Après avoir vidé le pont et converti les actifs en environ 5 402,4 ETH, l’attaquant a rendu 4 052,4 ETH — conservant 25 % en tant que prime white-hat. L’équipe Verus a accepté cette récupération partielle, et les fonds retournés ont été officiellement redéposés sur le pont le 8 juillet, selon les enregistrements on‑chain compilés par des chercheurs en sécurité.
Les accords de type white-hat de ce genre ne sont pas rares dans la DeFi. Ils offrent une voie pragmatique vers une récupération partielle lorsque l’application de la loi est difficile et que les attaquants sont anonymes. Mais ils reposent sur une hypothèse implicite : que la vulnérabilité identifiée par l’attaquant sera corrigée avant que les fonds récupérés ne soient réinjectés dans le système.
Dans ce cas, cette hypothèse semble avoir été erronée. Le même chemin d’entrée et la même classe de vulnérabilité qui ont permis le vol de mai sont restés disponibles après le redépôt des fonds — et un deuxième attaquant, sans lien, les a découverts en moins de deux semaines.
Ce que cela signifie pour la sécurité des ponts Ethereum
La situation de Verus illustre de manière extrême un schéma qui s’élargit à travers l’infrastructure cross‑chain. Dans une fenêtre de six heures le même jour que la dernière exploitation de Verus, au moins deux autres protocoles ont également été vidés lors d’incidents distincts, pour un total combiné dépassant 35 millions de dollars sur l’ensemble des plateformes touchées, selon les rapports de CoinDesk basés sur des données blockchain analysées par BlockAid et Peckshield. Aucune de ces attaques n’a brisé la cryptographie sous‑jacente. Chacune relevait soit d’une faille logique, soit d’une permission compromise — des catégories de vulnérabilités que les audits peuvent manquer et qui persistent souvent silencieusement jusqu’à ce que quelqu’un disposant des bonnes connaissances agisse.
Le cas Verus ajoute une leçon plus dure : récupérer des fonds après une exploitation et les réinjecter dans un système non corrigé ne restaure pas la sécurité. Cela restaure l’exposition. Pour les utilisateurs et les fournisseurs de liquidité qui évaluent les ponts cross‑chain, la question n’est plus seulement de savoir si un pont a été audité, mais si les failles identifiées ont été vérifiablement corrigées avant que le capital n’y afflue de nouveau.
FAQ
Quelle a été la cause des exploitations du pont Verus–Ethereum ?
Les deux exploitations ont abusé du chemin d’importation du pont, déclenchant des paiements non couverts du côté Ethereum en raison de la même classe de vulnérabilité. Le pont a libéré de vrais actifs contre des demandes qui n’étaient pas correctement couvertes du côté Verus.
Combien a été volé lors de la récente exploitation du pont Verus–Ethereum ?
Environ 7,54 millions de dollars ont été vidés sous forme de divers jetons — notamment ETH, tBTC, USDC, USDT, EURC, MKR et scrvUSD — puis convertis en ETH.
Les fonds du précédent piratage ont‑ils été entièrement perdus ?
Non. L’attaquant de mai a rendu 4 052,4 ETH après avoir conservé une prime white-hat de 25 %. Ces fonds ont été redéposés sur le pont le 8 juillet, avant que la deuxième exploitation ne se produise.
L’exploitation actuelle a‑t‑elle été menée par le même attaquant que précédemment ?
Non. Selon Blockaid, la dernière attaque a été menée par un autre attaquant utilisant un nouveau portefeuille, sans lien apparent avec l’incident de mai.
{« @context »: »https://schema.org », »@type »: »FAQPage », »mainEntity »:[{« @type »: »Question », »name »: »Quelle a été la cause des exploitations du pont Verus–Ethereum ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Les deux exploitations ont abusé du chemin d’importation du pont, déclenchant des paiements non couverts du côté Ethereum en raison de la même classe de vulnérabilité. Le pont a libéré de vrais actifs contre des demandes qui n’étaient pas correctement couvertes du côté Verus. »}},{« @type »: »Question », »name »: »Combien a été volé lors de la récente exploitation du pont Verus–Ethereum ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Environ 7,54 millions de dollars ont été vidés sous forme de divers jetons — notamment ETH, tBTC, USDC, USDT, EURC, MKR et scrvUSD — puis convertis en ETH. »}},{« @type »: »Question », »name »: »Les fonds du précédent piratage ont-ils été entièrement perdus ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. L’attaquant de mai a rendu 4 052,4 ETH après avoir conservé une prime white-hat de 25 %. Ces fonds ont été redéposés sur le pont le 8 juillet, avant que la deuxième exploitation ne se produise. »}},{« @type »: »Question », »name »: »L’exploitation actuelle a-t-elle été menée par le même attaquant que précédemment ? », »acceptedAnswer »:{« @type »: »Answer », »text »: »Non. Selon Blockaid, la dernière attaque a été menée par un autre attaquant utilisant un nouveau portefeuille, sans lien apparent avec l’incident de mai. »}}]}
Article produit avec l’aide de l’intelligence artificielle et relu par l’équipe éditoriale.
