Trois exploitations de ponts crypto « infinimint » en dix jours montrent que les ponts inter-chaînes constituent la faille de sécurité insoluble de la crypto — et les audits ne peuvent pas les sauver.
Les failles d'exploitation des ponts crypto sont un défaut de conception, pas de la malchance
Points clés
- Trois piratages de ponts « infinimint » ont eu lieu en dix jours en octobre : Initia (2,7 M $), Cysic (727 K $) et THEO d'Autheo (environ 1,76 M $).
- Chacun a suivi la même recette : émettre des tokens non adossés sur une chaîne, puis transférer les actifs réels via un pont avant que quiconque ne réagisse.
- Les audits n'ont pas aidé. Autheo avait été examiné par Halborn, CertiK et Avelar Labs et a tout de même été vidé.
- Un pont est une machine de frappe enveloppée dans du code. Le code contient des bugs. C'est un problème de conception, pas une série de malchance.
- Tant que les ponts ne sont pas collatéralisés, assurés ou remplacés, chaque token ponté est une promesse non adossée à des actifs.
En l'espace de dix jours en octobre, trois blockchains ont été volées avec la même astuce : mint de tokens à partir de rien, puis repartir avec l'argent réel. Initia (https://initia.xyz) a perdu environ 2,7 millions de dollars le 23 octobre. Cysic a perdu environ 727 000 dollars le 17 octobre. Le token THEO d'Autheo (https://autheo.com) a été vidé pour environ 1,76 million de dollars le 13 octobre. Trois équipes différentes, trois bases de code différentes, une défaillance identique. Ces exploits de ponts crypto ne sont pas une série de malchance. C'est un défaut de conception que l'industrie a passé cinq ans à insister sur le fait qu'elle pourrait résoudre par l'ingénierie.
Que s'est-il réellement passé
Initia, une couche 1 basée sur MoveVM qui exécute un réseau de rollups entrelacés, a été la plus grande réussite. Un attaquant a exploité un bug de mise en cache de scripts dans son MoveVM — la machine virtuelle elle-même, et non une application écrite à la hâte — pour falsifier l'état de la chaîne et se créditer de WETH, iUSD et USDC qui n'avaient jamais été adossés à un dépôt. Ensuite, ils ont transféré environ 2,7 millions de dollars via LayerZero et Noble/CCTP avant que la chaîne ne soit interrompue à 15:41:30 UTC.
Le détail qui devrait vous terrifier : Bitquery, la firme d'analyse on-chain, a constaté que la réserve USDC du pont est passée d'environ 1,09 million de dollars à 63 dollars en un seul après-midi. Les soldes fictifs de l'attaquant s'élevaient à environ 7,48 millions de dollars, mais il n'a pu extraire que 3 millions de dollars environ — car la réserve s'est littéralement tarie. Les pertes restantes ont pesé sur les utilisateurs honnêtes dont les retraits ont simplement cessé d'être traités. Ils détenaient des reconnaissances de dette, et le coffre-fort derrière ces reconnaissances était vide.
Cysic, un projet matériel de zéro connaissance, a été touché le 17 octobre par une porte différente — une base de données de support compromise combinée à une faille dans la façon dont le pont traitait les messages de « mint ». L'attaquant a forgé 10 millions de jetons CYS sur la BNB Chain et a transféré environ 306,6 ETH vers Ethereum. La fondation a gelé 2,8 millions de jetons et a offert une prime de 10 %. L'attaquant a refusé, puis a envoyé 300 ETH et 30,4 BNB vers Tornado Cash.
Autheo était le plus cinématographique. Le 13 octobre, quelqu’un a minté des millions de jetons THEO sur Base via une faille supposée du pont Hyperlane — un chercheur l’a estimée à 119 millions, soit environ 70 % de l’offre — les a échangés contre environ 700 ETH, puis les a vendus en masse. Le jeton s’est effondré en quelques heures. Ensuite, l’attaquant a fait quelque chose d’étrange : il a envoyé environ 1 million de dollars de THEO vers le portefeuille d’un inconnu, un geste qui ressemble moins à de la générosité qu’à une tentative délibérée de salir une adresse innocente et de brouiller l’attribution.
Pourquoi les audits n’ont-ils pas détecté cela ?
L'affaire Autheo est le coup de grâce porté à la défense préférée de la crypto. Ce projet avait été examiné par Halborn, CertiK et Avelar Labs — trois sociétés de sécurité de renom. Il a tout de même été vidé. C'est tout le problème. Les audits détectent des schémas de bogues connus dans des chemins de code connus. Ils ne corrigent pas un modèle structurellement défaillant. Lorsque la vulnérabilité réside dans la logique de mise en cache de la machine virtuelle (Initia) ou dans le middleware de traitement des messages du pont (Cysic, Autheo), aucun examen de contrat intelligent n'aurait pu la détecter. Le badge « nous avons été audités » est un atout marketing, pas une garantie de sécurité.
La vue d'ensemble : les ponts sont le mur porteur
Dézoomez et chaque attaque partage une primitive unique : la fonction de frappe (mint). Un pont fonctionne en verrouillant l'actif réel A sur la chaîne X et en émettant un reçu sur la chaîne Y. Ce reçu est la promesse du pont. Brisez la frappe — ou la logique qui décide quand la frappe est autorisée — et vous pouvez créer la promesse sans jamais effectuer le dépôt. Ce n'est pas une idée nouvelle. C'est la même invariance économique que les banques appellent risque de solvabilité. La différence est qu'une banque dispose de capitaux, d'assurances et de régulateurs. Un pont dispose d'un contrat intelligent et d'un espoir.
Cela est important car le multichain représente l'avenir annoncé de la crypto, et les ponts en sont le mur porteur. L'abstraction de chaîne, le restaking, les centaines de nouveaux L2 et L3 — tous supposent que les actifs peuvent circuler librement entre les chaînes. Ces mouvements reposent sur les ponts. Et la pression sécuritaire ne faiblit pas : Chainalysis (https://www.chainalysis.com) estime que des groupes liés à la Corée du Nord ont volé plus de 1 milliard $ en 2026 seulement, le piratage de Bitget en septembre ayant été revu à la hausse pour atteindre 387,5 millions $. Les attaquants professionnels ne procèdent pas au hasard. Ils ont industrialisé la recherche de ces vulnérabilités précises de type mint-and-drain.
Qui gagne et qui perd ?
Les perdants sont faciles à nommer. Les utilisateurs honnêtes détenant des actifs pontés ont absorbé l'écart entre les soldes fictifs et réels sur Initia. Les projets eux-mêmes ont brûlé des mois de crédibilité en une nuit. Et le récit « audité = sûr » a pris un nouveau coup dur.
Les gagnants sont moins évidents. Les architectures qui ne nécessitent pas de ponts — émission native, règlement basé sur les intentions, rollups à couche de règlement unique — viennent de bénéficier d'un argumentaire de vente gratuit. Les sociétés de sécurité et les assureurs voient leur mandat s'élargir. Et les attaquants ont prouvé, pour la troisième fois en dix jours, qu'il s'agit de l'exploitation à haut rendement la moins chère dans le domaine des cryptomonnaies.
La conséquence du second ordre est plus discrète mais plus importante : le récit de l'« abstraction de chaîne » — l'idée que les utilisateurs ne devraient pas avoir à savoir sur quelle chaîne ils se trouvent — porte désormais une responsabilité cachée. Chaque couche qui masque un pont à l'utilisateur masque également le risque de solvabilité du pont. L'abstraction est une victoire en matière d'expérience utilisateur, mais un cauchemar en matière de gestion des risques.
Cela s'est-il déjà produit ?
Oui, et 2022 a été l'année où les ponts ont été envoyés à l'abattoir : Ronin (625 millions de dollars), Wormhole (325 millions de dollars), Nomad (190 millions de dollars). Chainalysis classe depuis longtemps les ponts comme la cible d'attaque à la plus haute valeur, et les pertes totales liées aux ponts entre 2021 et 2024 ont dépassé 2,5 milliards de dollars. Ce qui est différent maintenant, c'est l'endroit où les attaques se produisent. Ronin était une attaque par ingénierie sociale visant des validateurs. Wormhole et Nomad étaient des bugs de logique dans les contrats intelligents. Initia présentait un bug dans la machine virtuelle elle-même, et Cysic et Autheo avaient des bugs dans le middleware des ponts. L'industrie a corrigé les couches supérieures de la pile — les attaquants sont donc simplement descendus plus bas, là où le code est plus récent, plus complexe et moins examiné.
Où en sera-t-il dans les trois prochaines années ?
Trois prédictions. Premièrement, l'« infinimint » — la frappe de tokens non adossés et le vidage de la réserve — deviendra l'attaque de pont par défaut, car elle ne nécessite aucune compromission de clé et s'adapte à ce que le pont détient. Deuxièmement, les ponts seront traités comme les intermédiaires financiers qu'ils sont fonctionnellement : attendez-vous à ce que l'attestation des réserves, la preuve de solvabilité et les obligations d'assurance passent du statut de garniture marketing à celui de prérequis essentiels, éventuellement sous l'impulsion des régulateurs. Troisièmement, les architectures gagnantes cesseront de faire du bridging. L'émission native de stablecoins sur chaque chaîne, le règlement basé sur les intentions où des solveurs concourent pour exécuter l'ordre d'un utilisateur sans pont de frappe au milieu, et les rollups partageant une couche de règlement de base grignoteront progressivement la part du lion du pont. Le bridging ne disparaîtra pas. Mais il sera rétrogradé du statut d'infrastructure par défaut à celui de plomberie spécialisée et collatéralisée.
L'angle du trader
Il ne s'agit pas de savoir où ira le prix d'un token. Il s'agit de savoir où se trouve votre argent. Traitez les "actifs immobilisés dans un contrat de pont" comme une catégorie de risque distincte — séparée du protocole lui-même. Là où la liquidité le permet, privilégiez les actifs natifs ou émis directement plutôt que les versions enrobées et pontées, car le token enrobé hérite de la solvabilité du pont qui l'a émis. Surveillez les projets qui publient des preuves de réserves en temps réel ou qui disposent d'une assurance tierce ; ce sont ceux qui traitent un pont comme une banque plutôt que comme un contrat intelligent. Et notez le "cadeau" d'Autheo à un portefeuille aléatoire : il s'agit d'une attaque par attribution, conçue pour ralentir les forces de l'ordre et créer un déni plausible. Attendez-vous à en voir davantage.
La facture est arrivée à échéance
Le prochain piratage de cryptomonnaies à neuf chiffres ne sera probablement pas une erreur de clé privée ni une manipulation d'oracle par prêt flash. Ce sera quelqu'un qui minte un milliard de dollars de reconnaissances de dette via la fonction de mint d'un pont et qui s'enfuit avant que la réserve ne soit vidée. La vérité inconfortable est que cinq ans d'« audits, audits, audits » n'ont pas comblé la brèche — parce que la brèche n'est pas dans le code. Elle est dans le concept. Nous avons construit toute une économie multichaîne sur l'hypothèse qu'une machine de mint pouvait être sécurisée avec suffisamment de couverture de tests. Octobre 2026, c'était la facture qui arrivait à échéance. La seule question est de savoir si l'industrie lit la facture avant que la suivante n'arrive.
FAQ
Qu'est-ce qu'une exploitation de pont « infinimint » ? Il s'agit d'une attaque au cours de laquelle quelqu'un crée un nombre illimité de jetons non adossés sur une chaîne et les transfère vers l'extérieur en tant qu'actifs réels. Le terme provient de la description par l'analyste on-chain Spreek de la faille d'Initia : l'attaquant « a créé des jetons transférables sur Initia sans adossement et les a transférés vers l'extérieur, vidant le contrat du pont. »
Pourquoi les ponts inter-chaînes continuent-ils d'être piratés ? Un pont doit émettre un jeton reçu chaque fois qu'un actif est verrouillé. Si un attaquant contourne la logique protégeant cette émission, il peut créer des reçus sans dépôts et retirer du collatéral réel. Il s'agit d'un défaut de solvabilité, et non d'une simple faille de sécurité — et cela est inhérent au fonctionnement des ponts.
Les audits empêchent-ils les piratages de ponts ? Pas de manière fiable. Autheo avait été audité par Halborn, CertiK et Avelar Labs avant son exploitation en octobre 2026 et a tout de même été vidé. Les audits détectent les modèles de bugs connus dans le code examiné ; ils ne corrigent pas un modèle structurellement défectueux et ne détectent pas les bugs dans la couche de mise en cache d'une machine virtuelle.
Mes actifs pontés sont-ils en sécurité ? Tout token qui a traversé un pont transporte le risque de solvabilité de ce pont. Les actifs natifs, non. Dans la mesure du possible, privilégiez les actifs natifs ou directement émis aux versions enveloppées ou pontées, et favorisez les projets qui publient des preuves de réserves en temps réel.
Qu’est-ce qui résout réellement ce problème ? L’émission native, le règlement basé sur les intentions, les ponts collatéralisés ou assurés — ainsi que le traitement des opérateurs de ponts en tant qu’intermédiaires financiers soumis à une attestation des réserves. La réponse à long terme est de réduire le nombre d’éléments à pontifier, plutôt que d’améliorer les ponts eux-mêmes.