Alephium TokenBridge a été piraté, avec une perte de 815 000 dollars.

L'attaquant a contrôlé 3 des 4 clés Guardian, falsifié des VAA en 7 minutes, et créé de toute pièce 13,76 millions d'ALPH emballés, dépassant de plus de 100 % la quantité en circulation avant l'attaque.
Ce n'est pas une simple « faille de code » technique, mais un effondrement de la confiance au niveau de la gouvernance.
La multi-signature est censée disperser les risques, mais lorsque 3/4 des clés peuvent être contrôlées par une même entité, la multi-signature devient un point de défaillance unique.
Les mécanismes de stockage des clés Guardian, la séparation entre chaud et froid, le rotation régulière, ces problèmes fondamentaux sont souvent négligés dans la conception des ponts cross-chain.
Ce qui est encore plus alarmant, c'est que l'attaquant a non seulement créé des tokens, mais a aussi déverrouillé des USDT, USDC, WBTC et WETH depuis le pool de garde.
Cela signifie que les pools de liquidité des ponts cross-chain ne sont pas totalement indépendants, mais profondément liés aux permissions de gouvernance.
Une fois la gouvernance compromise, tous les actifs du pool sont exposés à des risques.
Alephium n'est pas une exception.
En 2025, des attaques sur des ponts cross-chain comme Wormhole, Nomad ont révélé des problèmes similaires, mais le secteur semble ne pas avoir vraiment tiré de leçons.
En tant qu'infrastructure clé pour la circulation d'actifs entre écosystèmes, la sécurité des ponts cross-chain doit passer d’un modèle de « confiance en peu » à une « logique de code vérifiable ».
Pour l'utilisateur, un critère simple : si la mise à jour ou la suspension d’un pont est concentrée entre les mains de peu d’adresses, sa sécurité n’est pas meilleure que celle d’une plateforme centralisée.
Dans le monde DeFi, la gouvernance équivaut au risque.
$usdt #usdc #w #wbtc #defi