Les vulnérabilités liées aux synapses et aux ponts de chaînes permettent de mettre en évidence les risques de sécurité.

• Les ponts entre chaînes de traitement dépendent des déposants, des émetteurs de dettes et des oracle. Cela crée des voies d’attaque, comme…Hijacking de l’adresse privilégiée et création de preuves.
• Les exploits réalisés avec Synapse et Nerve Bridge ont été réalisés en utilisant un code provenant de Saddle.Finance.Les différences dans les calculs de swap permettaient aux attaquants de tirer parti de cela.Pour épuiser la liquidité.
• Les audits de contrats intelligents constituent désormais une exigence normale pour les exchanges et pour respecter les réglementations en vigueur. Cela permet d’éviter les attaques informatiques qui pourraient causer des dommages importants.Des pertes s’élevant à plus de 4 milliards de dollars en 2025.
• Les attaques par interface visent souvent l’approbation des utilisateurs. Ainsi, des tiers peuvent déposer des fonds depuis des adresses approuvées, sans que les utilisateurs donnent leur consentement explicite.
• Les meilleures pratiques consistent à utiliser des ponts audités, à vérifier les rapports d’audit pour les problèmes récurrents, et à éviter que les utilisateurs de dApps subissent des approbations inutiles.

Les ponts entre chaînes de blocs constituent une infrastructure essentielle pour le transfert d’actifs entre différentes chaînes de blocs. Cependant, leur architecture présente des défis sécuritaires importants. Ces systèmes combinent généralement un dépositaire, un émetteur de dettes et un oracle afin de faciliter les transactions. Cette combinaison crée des points d’attaque significatifs que les attaquants peuvent exploiter pour retirer des fonds. Les dépositaires sont particulièrement vulnérables face à l’hijacking des adresses privilégiées. Comme en témoigne l’attaque sur la Poly Network, un attaquant a réussi à remplacer l’adresse de dépôt pour prendre le contrôle du système. Ils sont également susceptibles d’être victimes de manipulation des preuves, ce qui permet de retirer des fonds excessifs. Ce risque est souligné dans la vulnérabilité du Polygon Plasma Bridge.

Les émetteurs de dettes sont confrontés au risque de création de tokens défectueux, si les messagers sont trompés et envoyent des messages invraisemblables. L’exemple de Wormhole a montré comment les attaquants pouvaient falsifier les signatures de vérification pour créer des tokens de dette. Les messagers eux-mêmes peuvent également être attaqués s’ils valident uniquement certaines adresses de contrat, ce qui permet aux contrats malveillants d’émettre des événements de dépôt identiques et de créer ainsi des quantités excessives de tokens de dette. La pollution des données, due à des attaques de type 51%, est un autre risque ; cependant, cette méthode est généralement coûteuse en termes de ressources.

Comment le « hack de la synapse » a-t-il pu se produire ?

En novembre 2021, les attaques visant Synapse Bridge et Nerve Bridge ont profité du code partagé de Saddle.Finance. Les deux protocoles utilisent des MetaPools, avec des tokens LP basés sur plusieurs stablecoins. La vulnérabilité résidait dans la manière dont les fonctions de swap calculaient la valeur des tokens LP. La fonction ‘swapUnderlying’ calcule une “valeur virtuelle” pour les tokens LP, tandis que la fonction ‘swap’ ignore cet effet, sous-estimant constamment la valeur des tokens LP par rapport à ‘swapUnderlying’.

L’attaquant utilisant Nerve Bridge a profité de cette disparité en utilisant une fonction de « swap ». En utilisant cette fonction, ils ont obtenu un nombre exagéré de tokens LP en échange de leurs fUSDT. Ils ont ensuite retiré la liquidité en BUSD et ont utilisé la fonction « swapUnderlying » pour échanger davantage de fUSDT que ce qu’ils avaient initialement déposé. Leur action a donc entraîné une perte de valeur due à des erreurs de calcul répétées. L’attaque menée par Synapse a également causé une perte de plus de 8 millions de dollars. Cependant, cette transaction a été rejetée par les validateurs lors du transfert entre chaînes. L’attaque menée via Nerve Bridge, quant à elle, a réussi.

Ces incidents montrent les risques liés à la dépendance envers le code de tiers, sans l’assurance d’une vérification de sécurité adéquate. La vulnérabilité provient du fait que des fonctions communes ont été implémentées de deux manières différentes, plutôt que par l’utilisation d’une bibliothèque partagée. Cela permet aux erreurs de calcul de persister. Les attaques contre les interfaces ciblent souvent l’autorisation des utilisateurs ; les contrats permettent donc aux tiers de déposer des fonds depuis des adresses approuvées.

Pourquoi les audits des contrats intelligents sont-ils si importants aujourd’hui ?

Les audits de contrats intelligents sont des examens de sécurité structurés du code source, conçus pour identifier les vulnérabilités avant leur mise en œuvre. Ce processus comprend généralement trois étapes : l’analyse automatique des schémas connus de vulnérabilités, le contrôle manuel du code par des ingénieurs expérimentés afin de détecter les erreurs logiques et les exploitations possibles, ainsi que des tests dynamiques, comme l’utilisation de fausses données pour tester le code. En 2025, les vulnérabilités liées aux contrats intelligents ont causé des pertes s’élevant à 512 millions de dollars sur un total de 4 milliards de dollars perdus dans le monde du Web3. Les problèmes liés au contrôle d’accès ont entraîné des pertes s’élevant à 2,12 milliards de dollars.

Des entreprises leader comme CertiK et Hacken utilisent la vérification formelle pour fournir des garanties mathématiques concernant le comportement des contrats. Les audits sont désormais une exigence standard pour les entreprises qui veulent être listées sur les principales bourses et respecter les réglementations en vigueur. Ces audits servent donc de garantie pour la sécurité de l’écosystème. Cela est de plus en plus exigé par des cadres réglementaires tels que MiCA, afin d’assurer la pérennité des protocoles et la confiance des utilisateurs.

Les meilleures pratiques pour atténuer les risques incluent l’utilisation de bridges certifiés, la vérification des rapports d’audit concernant les problèmes fixes, le suivi des programmes de rémunération pour les bogues, et l’éviction des approbations infinites pour les utilisateurs de DApps. Ces mesures sont essentielles pour protéger les investisseurs et préserver l’intégrité de l’infrastructure transchaine.