Verus Bridge de nouveau piraté : 7,5 M$ disparaissent lors d'une seconde attaque

Verus Bridge a été victime d'un nouveau piratage majeur, l'attaquant ayant siphonné environ 7,54 millions de dollars depuis le bridge Ethereum jeudi. L'opération intervient près de deux mois après une première attaque de 11,58 millions de dollars visant le même contrat, ce qui laisse penser qu'une faille de validation déjà connue n'a pas été corrigée. Selon Blockaid, les fonds dérobés incluent notamment ETH, tBTC, USDC, USDT, EURC, MKR et scrvUSD. La société indique avoir observé un exploit du "@VerusCoin Ethereum Bridge" sur Ethereum le 23 juillet 2026, via le chemin d'import du bridge, permettant de déclencher des paiements côté Ethereum sans couverture correspondante. Le mécanisme en cause ne relève pas d'une cryptographie cassée. D'après Blockaid, le contrat acceptait des signatures valides et des preuves de Merkle, mais ne vérifiait pas que le montant libéré sur Ethereum correspondait à une valeur effectivement engagée sur la blockchain Verus. En clair, un contrôle de cohérence de valeur manquait dans le contrat. Halborn et Merkle Science étaient arrivés à des conclusions similaires après l'exploit de mai, attribuant l'origine du problème à la fonction checkCCEValues et à l'absence d'environ dix lignes de validation en Solidity, alors même que le bridge semblait fonctionner normalement. Cette omission créait un déséquilibre extrême entre coût et gain : Merkle Science estimait que l'attaquant de mai pouvait transformer environ 10 dollars de frais de transaction VRSC en un paiement de 11,58 millions de dollars. Halborn relevait même qu'une transaction proche d'un centime pouvait satisfaire les exigences de signature et de preuves, avant de provoquer la libération d'actifs valant des millions sur Ethereum. L'incident le plus récent aurait ciblé le même contrat et le même chemin d'import, avec une transaction différente, un autre portefeuille attaquant et une destination distincte pour les fonds volés. Le calendrier interpelle alors que la sécurité des bridges s'est globalement renforcée dans la DeFi. Des données d'Immunefi citées dans le rapport indiquent que les piratages de bridges représentaient 73% des pertes DeFi en 2022, contre 3% en 2025. Cette amélioration sectorielle ne compense pas le maintien d'une vulnérabilité identifiée publiquement. À ce stade, Verus n'a pas publié de post-mortem officiel pour l'attaque de jeudi. Après l'incident de mai, Merkle Science recommandait déjà d'éviter le bridge tant que la validation défaillante n'était pas corrigée et qu'un audit indépendant n'avait pas été confirmé publiquement. En l'absence de confirmation, la prudence reste de mise pour les utilisateurs comme pour les fournisseurs de liquidité.