AFX Trade perd 24 millions de dollars après la compromission d’un bridge
Offchain Labs précise que le bridge natif d’Arbitrum n’a pas été affecté ; l’attaque a visé les clés de signature des validateurs et remet en lumière les risques des bridges cross-chain dans la DeFi.
À retenir
- AFX Trade a perdu mercredi environ 24,15 millions de dollars après qu’un attaquant a compromis les clés de signature des validateurs d’un bridge sur Arbitrum.
- Selon Blockaid, un retrait de 24 150 000 USDC a été approuvé par cinq signatures de hot-validator, puis exécuté après 200 secondes.
- L’attaque est intervenue alors que le volume de trading d’AFX progressait fortement, rappelant une nouvelle fois que les bridges cross-chain restent un point de fragilité majeur de la DeFi.
AFX Trade a été vidé mercredi d’environ 24,15 millions de dollars (21,2 millions d’euros) après qu’un attaquant a réussi à mettre la main sur les clés de signature des validateurs d’un bridge sur Arbitrum. D’après les données on-chain, il s’agissait d’un retrait en USDC. De son côté, Offchain Labs a insisté sur un point : le bridge natif d’Arbitrum n’a pas été hacké ni détourné.
Le bridge a validé le retrait
La société de sécurité Blockaid a indiqué que la logique on-chain n’avait pas été contournée. En pratique, cinq signatures de hot-validator ont suffi à valider le retrait de 24 150 000 USDC, soit le quorum requis d’environ deux tiers. Le contrat a ensuite considéré l’opération comme légitime et les fonds ont été débloqués après une période de contestation de 200 secondes.
Sur le plan technique, le scénario est donc bien différent d’un hack de smart contract classique. Le bridge a fonctionné comme prévu, mais les clés autorisant le retrait semblaient avoir été compromises. Les USDC dérobés ont ensuite été convertis via Ethereum en environ 12 467 ETH, pour une valeur d’environ 24 millions de dollars (21 millions d’euros), et se trouvent désormais dans un seul wallet, selon les trackers on-chain.
Une hausse d’activité au même moment
Le timing interpelle : l’activité de trading d’AFX a nettement accéléré à l’approche de l’attaque. Selon DefiLlama, le volume quotidien de contrats à terme perpétuels a atteint à la mi-juillet son plus haut niveau depuis plusieurs mois, tandis que le protocole attirait davantage d’utilisateurs et, par ricochet, davantage de dépôts. Le montant retiré représentait presque l’intégralité de la valeur verrouillée dans le protocole.
Pour les lecteurs européens de crypto, cet épisode mérite une attention particulière, car les bridges cross-chain restent depuis longtemps l’un des maillons les plus fragiles de DeFi. Ils concentrent souvent des montants importants et reposent sur un nombre limité de validateurs ou de mécanismes d’approbation. Dès lors, la compromission de clés d’accès peut avoir un effet immédiat sur la sécurité de l’ensemble du dispositif. Arbitrum a déjà connu plus tôt cette année un incident de sécurité lié au L1 Timelock Contract, preuve que les risques ne se limitent pas à la couche centrale d’un réseau. Lors d’une autre attaque sur Arbitrum, il est aussi apparu qu’une seule clé compromise pouvait suffire à détourner des montants importants, comme dans le cas d’Ostium.
Une pression accrue sur la sécurité DeFi
Cette attaque s’inscrit dans une période particulièrement tendue pour la sécurité crypto. Au deuxième trimestre, les pertes liées aux hacks ont atteint des niveaux parmi les plus élevés jamais observés, tandis que d’autres protocoles liés à Arbitrum ont eux aussi été touchés récemment, notamment par un hack d’oracle sur la plateforme RWA Ostium. L’incident chez AFX rappelle enfin certains cas antérieurs, où les attaquants n’avaient pas cassé un contrat, mais avaient pu détourner des fonds grâce à un accès prolongé à des privilèges.
