Wormhole a publié son propre correctif de sécurité — et un pirate a créé 325 M$ avant son déploiement

Wormhole était l'un des ponts les plus actifs entre Ethereum et Solana : déposez de l'ETH d'un côté, recevez de l'ETH enveloppé (wETH) de l'autre, les pièces déposées étant conservées en séquestre à parité 1:1. Le 2 février 2022, un attaquant a forgé une signature valide pour un message auquel le pont faisait confiance et a créé 120 000 wETH — environ 325 millions de dollars — sans rien déposer, puis a retiré environ 250 millions de dollars d'Ethereum réel des garanties du pont.

Le bug de vérification de signature était connu au sein du projet, et un correctif avait été écrit. Mais le correctif a été poussé sur le dépôt GitHub public du projet le jour de l'attaque, avant d'atteindre la production. Le commit était présenté comme une simple mise à jour de version, mais comme l'a fait remarquer le développeur Matthew Garrett, le diff était bien trop volumineux pour cette histoire — et il indiquait à quiconque observait exactement où se trouvait le point faible. Quelques heures plus tard, il était exploité.

Wormhole a annoncé que le réseau était « en maintenance », a confirmé le vol et a offert à l'attaquant une prime de 10 millions de dollars intégrée dans un message on-chain. Le voleur ne l'a jamais acceptée. Le lendemain, Jump Crypto — la société de trading dont les développeurs construisent Wormhole — a remplacé les 120 000 ETH pour maintenir la solvabilité du pont, un sauvetage rapporté par CoinDesk et confirmé par Jump lui-même sur Twitter.

325 M$ en wETH créés à partir de rien ; environ 250 M$ drainés des garanties Ethereum du pont ; Solana a chuté de 10 % ce jour-là

Le code corrigé résidait dans un dépôt public tandis que la production exécutait encore la version vulnérable — le correctif lui-même est devenu le manuel d'instructions de l'exploit.

Le commit était étiqueté comme une mise à jour de routine, mais sa taille contredisait l'étiquette, annonçant discrètement qu'un correctif de sécurité était en cours.

Publier du code et exécuter du code étaient traités comme des actes distincts, ce qu'ils ne peuvent jamais être sur une blockchain publique.

Une vérification de signature sur un pont est un point unique gardant neuf chiffres ; un audit de Neodyme quelques mois plus tôt n'avait pas détecté la faille.

Un dépôt public est un canal de déploiement, que vous le vouliez ou non. Si le correctif existe là où les attaquants peuvent le lire, commitez et livrez ensemble — ou déployez d'abord et publiez seulement une fois chaque nœud corrigé.

L'injection de 120 000 ETH par Jump Crypto a maintenu le wETH adossé à parité 1:1 et stoppé la contagion sur les marchés de prêt DeFi de Solana, dont beaucoup utilisaient le wETH comme garantie. Le voleur n'a jamais été identifié et la prime est restée sans réponse. La violation est devenue la preuve canonique de l'avertissement de Vitalik Buterin selon lequel les ponts inter-chaînes font face à des « limites fondamentales » en matière de sécurité, et elle a poussé les équipes de ponts à retenir les correctifs jusqu'à l'achèvement du déploiement — et à considérer les audits comme un plancher, non un plafond.