Le pont Ethereum d'Ankr perd plus de 303 000 $ dans une exploitation multi‑jetons

Le 9 novembre, une faille de sécurité sur le pont inter‑chaînes Ethereum d'Ankr a entraîné cinq retraits non autorisés totalisant plus de 303 000 $ de valeur, selon la société de surveillance blockchain Blockaid. L’attaquant semble avoir réutilisé un minuscule dépôt effectué sur Optimism le 3 novembre pour demander plusieurs retraits de différents jetons sur le réseau Ethereum.

Comment l’exploitation s’est déroulée

L’analyse de Blockaid montre que l’attaquant a référencé un dépôt de 0,0044024803 ankrETH déjà remboursé sur Ethereum. En soumettant cinq nouvelles demandes de retrait modifiant les données du reçu – changement du destinataire, du type de jeton et du montant – l’attaquant a fait approuver les transferts par la logique d’autorisation du pont. Les retraits ont eu lieu entre 3 h 09 et 3 h 12, heure de l’Est, et ont été envoyés à un même portefeuille de destination.

Actifs prélevés et valeur estimée

Le composant principal de la perte était d’environ 82,91 ankrETH, évalué à environ 216 370 $. L’attaquant a également retiré 515 206 ankrPOL (56 372 $) et environ 7,98 millions de jetons ANKR (30 857 $). Deux actifs supplémentaires – 5 372,25 aMATICb et 0,8196 aETHb – ont été transférés, mais leurs valeurs de marché n’étaient pas disponibles sur Etherscan au moment du rapport, ils ne sont donc pas inclus dans l’estimation de 303 000 $.

Réaction et contexte plus large

Le drapeau de pause publique d’Ankr est resté à false pendant tout l’incident, et l’entreprise n’a pas encore abordé publiquement la faille ni confirmé si ses services RPC ou d’autres produits étaient affectés. La société avait déjà subi une perte distincte d’environ 410 000 $ en août, lorsqu’une vulnérabilité de son contrat ankrFLOW a permis la création de jetons non garantis. Des exploits similaires de ponts ont été signalés cette année, notamment des attaques contre le pont BNB Smart Chain de Cysic et un opérateur de pont XRPL, soulignant les défis persistants de la vérification des transactions inter‑chaînes.

À surveiller

Investisseurs et développeurs suivront de près Ankr pour toute déclaration officielle concernant les mesures de remédiation, une éventuelle compensation des utilisateurs affectés et le déploiement de correctifs de sécurité supplémentaires. Les régulateurs et chercheurs en sécurité sont également attendus pour examiner si la faille réside dans le processus de signature du pont, la validation des reçus ou un autre composant, ce qui pourrait influencer les futures normes de conception des ponts inter‑chaînes.