Verus ponts inter-chaînes hackers restituent 75 % des fonds volés, la partie du protocole accepte le règlement à l'amiable sans poursuivre

L’attaquant a restitué 4 052 ETH (environ 8,5 millions de dollars), en conservant 1 350 ETH en tant que prime — La prise d’otage du pont inter-chaînes Verus s’est conclue par une négociation, mais la question de savoir si le mécanisme de prime encourage indirectement « l’attaque puis la négociation » a suscité des débats.
(Précédent : Le pont inter-chaînes Ethereum de Verus a été attaqué ! Blockaid surveille : pertes de plus de 11,58 millions de dollars)
(Contexte supplémentaire : Après le piratage de THORChain, proposition de récupération : absorption des pertes de plusieurs millions de dollars par le protocole, destruction du $RUNE de l’attaquant)

Table des matières de cet article

Toggle

• Résultat de la négociation et détails sur la restitution des fonds
• Réactions de la communauté : modèle exemplaire ou incitation ?
• Rétrospective : l’historique des attaques sur les ponts inter-chaînes
• Mode de prime : le double tranchant de la sécurité en DeFi

L’incident d’attaque du pont Ethereum de Verus survenu à la mi-mai a connu une avancée majeure après plusieurs jours de négociations. L’attaquant a volontairement restitué aujourd’hui environ 4 052 ETH, d’une valeur d’environ 8,5 millions de dollars, représentant 75 % des 5 402 ETH (environ 11,58 millions de dollars) initialement volés. La plateforme Verus a annoncé accepter le résultat de la négociation, en convenant de ne pas poursuivre l’attaquant en justice, et considère les 1 350 ETH restants (environ 2,8 millions de dollars) comme une prime blanche, en récompense pour la découverte et la divulgation de la faille.

Résultat de la négociation et détails sur la restitution des fonds

Selon les données on-chain, ces fonds restitués ont été transférés par l’attaquant en plusieurs fois vers le portefeuille officiel désigné par Verus. Les deux parties n’ont pas publié tous les détails de la négociation, mais la communauté pense généralement qu’il s’agit d’une négociation menée par l’équipe Verus, sous forme de « prime pour la divulgation de vulnérabilités ». L’attaquant a publié une déclaration sur une plateforme communautaire, insistant sur le fait qu’il n’était pas un malfaiteur, mais qu’il espérait que cette action inciterait le protocole à renforcer sa sécurité, tout en remerciant l’équipe pour sa volonté de résoudre le problème de manière constructive.

Réactions de la communauté : modèle exemplaire ou incitation ?

Cependant, au sein de la communauté Verus, les avis sont partagés. Certains membres considèrent cela comme un modèle dans l’histoire de la sécurité en DeFi, car la négociation a permis de réduire les pertes, d’éviter des procès longs, et de récupérer la majorité des fonds ; d’autres critiquent cette pratique, la qualifiant d’incitation indirecte à « attaquer d’abord, puis négocier », permettant aux hackers de repartir avec des gains importants tout en évitant la justice.

Rétrospective : l’historique des attaques sur les ponts inter-chaînes

En réalité, ce type de modèle n’est pas inédit dans les incidents d’attaques sur les ponts inter-chaînes. En juillet 2021, THORChain a subi une attaque entraînant une perte d’environ 5 millions de dollars, mais après une communication publique, l’attaquant a restitué la majorité des fonds et reçu une prime de 10 %. En août de la même année, Poly Network a été piraté pour 610 millions de dollars ; sous la pression de l’opinion publique et après négociation avec le protocole, l’attaquant a restitué presque tous les fonds, sans poursuites. Ces cas suivent une trajectoire similaire à celle de Verus : l’attaquant n’est pas uniquement motivé par le profit, mais cherche aussi à « révéler la faille », et le protocole utilise la prime comme incitation pour faire revenir les fonds.

En revanche, les attaques du pont Wormhole en début 2022 (perte de 320 millions de dollars) et du pont Ronin (perte de 620 millions de dollars) ont abouti à des résultats très différents. Wormhole a été entièrement indemnisé par Jump Crypto, la société mère, et l’attaquant n’a pas été arrêté à ce jour ; Ronin a été attribué au groupe Lazarus de la Corée du Nord, avec des fonds difficiles à récupérer, et seules des parties des actifs ont été gelées par les autorités. Ces deux incidents montrent que la « négociation de prime » n’est pas une solution miracle : la possibilité d’un accord dépend souvent de l’identité et des motivations de l’attaquant.

Mode de prime : le double tranchant de la sécurité en DeFi

Le mode de prime joue un rôle de plus en plus complexe dans l’écosystème de la sécurité en DeFi. D’un côté, il offre aux projets un outil pour arrêter rapidement une fuite, surtout dans les phases initiales sans mécanisme d’assurance, en réduisant efficacement les pertes finales. De l’autre, il peut encourager un risque moral, en faisant croire aux potentiels attaquants qu’en restituant la majorité des fonds, ils peuvent éviter des poursuites et même gagner une prime importante. À long terme, les protocoles DeFi doivent revenir à l’essentiel : renforcer l’audit du code, déployer une surveillance en temps réel et mettre en place des mécanismes d’urgence pour suspendre rapidement les activités, afin de réduire la survenue de tels incidents.

Michael J. Toutonghi, co-fondateur de Verus, a déclaré dans la communauté que cet incident leur a permis d’apprendre une leçon précieuse, et qu’ils renforceront la sécurité de leurs contrats de pont à l’avenir, en envisageant d’intégrer un mécanisme de prime plus complet, permettant aux white-hat de signaler activement les vulnérabilités avant qu’elles ne soient exploitées. Il a souligné que la priorité du protocole reste la protection des actifs des utilisateurs, et que, bien que le résultat ne soit pas parfait, c’est la meilleure solution dans la situation actuelle.

Au moment de la rédaction, le pont inter-chaînes Verus a retrouvé son fonctionnement normal, et les fonds des utilisateurs sont en sécurité. Cet incident laisse à l’industrie cryptographique une réflexion profonde : lorsque l’attaquant et le protocole peuvent négocier, la prime peut-elle devenir une norme en DeFi, ou n’est-ce qu’une solution provisoire pour pallier l’absence de solutions durables ?