Hyperbridge hacké : 1 milliard de DOT créés, 237 000$ envolés

Un hacker vient de frapper le protocole inter-chain Hyperbridge, déployé sur Polkadot. Résultat : 1 milliard de tokens DOT bridgés créés de toutes pièces sur Ethereum, sans la moindre autorisation. L'alerte a été donnée par la société de cybersécurité CertiK via son compte X en début de semaine.

Le mécanisme de l'attaque est limpide. Une vulnérabilité dans le protocole a permis à des preuves invalides d'être acceptées comme valides. Ce bug a ouvert la porte à un message malveillant qui a accordé à l'attaquant le contrôle administratif total du contrat du token DOT ponté sur Ethereum. Depuis ce poste de commande, il a pu frapper 1 milliard de tokens, soit plus de 2 800 fois la quantité légitime en circulation, estimée à environ 356 000 jetons.

Mais voilà le twist : malgré l'ampleur du montant créé, le butin réel est anecdotique. Le hacker a tenté de liquider ses tokens sur un DEX, et la faible liquidité disponible a fait s'effondrer le prix, passant de 1,22 dollar à quelques fractions de centime. Résultat final : 237 000 dollars de profit. Une somme ridicule au regard du milliard de tokens générés, mais bien réelle.

Hyperbridge tient à rassurer : l'incident est isolé. Il ne touche pas les tokens DOT natifs de Polkadot, les parachains ni les autres actifs du réseau. Seul le token de bridge sur Ethereum est concerné. En attendant une résolution, toutes les opérations de bridge sont suspendues. Les équipes travaillent avec des partenaires en sécurité pour tracer les fonds et tenter une récupération.

Cet épisode illustre une réalité que la DeFi refuse encore trop souvent d'admettre : les bridges inter-chain sont parmi les maillons les plus fragiles de tout l'écosystème. La complexité technique qu'ils impliquent, combinée aux enjeux financiers considérables qu'ils concentrent, en fait des cibles de choix. Ce n'est pas le premier protocole de bridge à tomber, ce ne sera pas le dernier.

Ce que ça change : les bridges inter-chain restent des bombes à retardement. Tant que les audits de sécurité ne seront pas une condition non négociable avant tout déploiement, les hackers continueront de se servir. 237 000 dollars aujourd'hui, potentiellement des centaines de millions demain.