Voir la table des matières Ne plus voir la table des matières
Un pont inter-chaînes sert à faire voyager un jeton d’un réseau vers un autre, en immobilisant l’actif d’un côté pour en émettre une copie de l’autre. Ce mécanisme de passerelle entre blockchains concentre par construction beaucoup de valeur dans un seul contrat. Dans la nuit du 6 au 7 octobre 2022, il s’est retourné contre le BSC Token Hub, la passerelle native entre BNB Beacon Chain et BNB Smart Chain : deux millions de BNB sont sortis de nulle part, sans qu’aucun dépôt ne vienne les adosser.
La riposte a été aussi spectaculaire que l’attaque. La chaîne entière a été mise à l’arrêt, le temps d’empêcher l’attaquant de disperser son butin. Une blockchain publique qu’un petit groupe peut éteindre en quelques heures, voilà qui pose une question de fond à quiconque y dépose de l’argent. Faut-il se réjouir d’un dispositif qui limite la casse, ou s’inquiéter de ce qu’il révèle ?
Ce qui s’est passé sur le BSC Token Hub
Le communiqué publié le 7 octobre par l’équipe BNB Chain reste sobre sur la technique. Il évoque une falsification sophistiquée d’une preuve de bas niveau, logée dans une bibliothèque commune au pont. L’attaquant n’a donc ni volé de clés ni compromis de serveur : il a fabriqué une preuve que la passerelle a acceptée pour argent comptant.
Le chercheur qui signe FrankResearcher a documenté le détail dans les heures qui ont suivi. La preuve forgée renvoyait au bloc 110217401, confirmé deux ans plus tôt sur la Beacon Chain, et le pont a émis les jetons correspondants sur BNB Smart Chain sans broncher. La faille tenait dans la vérification, pas dans la cryptographie, ce qui la range dans la même famille que les grands accidents de passerelle de l’année.
Sur le montant, deux chiffres circulent et ne mesurent pas la même chose. La société d’analyse Elliptic valorise à 569 millions de dollars les deux millions de BNB créés, au cours du marché. Changpeng Zhao a pour sa part estimé l’impact réel à environ 100 millions de dollars, soit un quart du dernier burn de BNB, une fois retirés les jetons gelés ou restés prisonniers de la chaîne.
Éteindre une blockchain, validateur par validateur
L’arrêt n’a rien eu d’un bouton rouge. BNB Smart Chain comptait alors 26 validateurs actifs sur 44 au total, répartis sur plusieurs fuseaux horaires, et l’équipe reconnaît les avoir contactés un par un pour obtenir la suspension. Ce porte-à-porte a coûté de longues minutes, et c’est précisément pendant ce délai que la partie mobile du butin a filé.
Changpeng Zhao a raconté sa nuit sans fard : réveillé à trois heures du matin, il a trouvé les validateurs déjà à l’arrêt et s’est contenté de communiquer. La scène a nourri les moqueries autant que les critiques, parce qu’elle donne à voir un réseau capable de s’immobiliser sur la coordination de quelques dizaines d’acteurs. Le butin, lui, avait déjà commencé son voyage.
Où sont partis les fonds
Les jetons fraîchement créés ont été convertis puis dispersés vers plusieurs réseaux, avant que le gel ne les rattrape. Le parcours reconstitué par Elliptic donne une idée assez nette de la course de vitesse qui s’est jouée cette nuit-là et de ce que la réactivité collective a permis de sauver.
- Environ 137 millions de dollars sortis vers Ethereum, Polygon, Fantom, Avalanche, Optimism et Arbitrum avant la suspension ;
- 33,5 millions de dollars d’USDT et d’USDC gelés par Tether et Circle sur l’ensemble des chaînes concernées ;
- 900 000 BNB et 8 millions de dollars d’USDT déposés en garantie sur les protocoles de prêt Venus et Banker Joe ;
- plus de 350 millions de dollars rendus inaccessibles à l’attaquant une fois la chaîne figée et les émetteurs mobilisés.
Nick Hansen, de la société de minage Luxor, a résumé le bilan à chaud d’une formule qui a beaucoup circulé : les attaquants n’ont sorti que 10 à 15 % avant que tout se fige. Le reste est resté prisonnier d’une chaîne à l’arrêt, ce qui a transformé un vol record en manque à gagner pour son auteur.
Un détail intrigue les analystes. Les positions ouvertes sur Venus auraient pu partir en liquidation si le BNB était passé sous 220 dollars : l’attaquant s’était exposé à un risque de marché parfaitement inutile, signe d’une improvisation qui contraste avec la finesse de l’exploit lui-même.
Le prix d’une chaîne qu’on peut arrêter
La critique est tombée dans l’heure, et elle ne portait pas sur le vol. Elle portait sur le remède. Un réseau qu’un tour de table suspend en une nuit n’offre pas les mêmes garanties qu’un réseau où personne ne dispose de ce pouvoir, et la promesse de décentralisation redevient une question de confiance envers ceux qui tiennent le manche.
Théâtre de la décentralisation absolue. La décentralisation et l’arrêt du réseau à la demande ne peuvent littéralement pas être plus opposés l’un à l’autre.
Hugo Nguyen, fondateur de Nunchuk, sur Twitter, le 7 octobre 2022
L’argument a une contrepartie difficile à balayer : sans ce pouvoir d’arrêt, l’attaquant repartait vraisemblablement avec la totalité. Les défenseurs de BNB Smart Chain, Julian Hosp en tête, l’ont formulé sans détour en renvoyant les puristes vers Bitcoin. Chaque architecture achète une propriété en en cédant une autre, et l’incident a rendu cet arbitrage très concret.
Pour qui investit, la leçon n’est ni l’indignation ni l’indulgence. Elle tient à ceci : le degré de centralisation d’une chaîne se vérifie avant d’y déposer des fonds, pas le soir où elle s’éteint. BNB Smart Chain n’a jamais caché son modèle, et son nombre de validateurs était public bien avant octobre.
Quatre votes pour solder l’affaire
L’équipe a annoncé porter la suite devant la gouvernance on-chain plutôt que de trancher seule. Quatre questions ont été mises sur la table : geler ou non les fonds détournés, puiser ou non dans le mécanisme d’auto-burn du BNB pour combler le trou, ouvrir un programme de primes doté d’un million de dollars par faille significative, et offrir jusqu’à 10 % des sommes récupérées à qui aiderait à identifier les auteurs. La fonction de vote des validateurs devait être activée dans les jours suivants.
Le calendrier dit quelque chose de l’état réel du réseau. Le mécanisme de gouvernance censé légitimer ces décisions n’existait pas encore au moment de l’attaque, et il a été créé sous la pression de l’événement. Ce qui explique aussi pourquoi la suspension s’est négociée au téléphone plutôt qu’en suivant une procédure prévue.
Ce que les passerelles coûtent vraiment à l’écosystème
L’année 2022 restera celle des passerelles percées. Les cent millions de dollars siphonnés sur le pont d’Harmony en juin, puis les 190 millions perdus par Nomad en août, avaient déjà signalé le point faible. Un pont concentre dans un seul contrat la contrepartie de tout ce qui circule, ce qui en fait la cible la plus rentable de l’écosystème.
Cette concentration explique la vitesse à laquelle les montants grimpent, et l’ardoise cumulée des vols en crypto penche désormais nettement du côté des infrastructures de liaison. Un réseau très distribué encaisse mal une attaque de cette taille ; un réseau très coordonné l’encaisse mieux, mais accepte en échange qu’une poignée d’acteurs puisse en suspendre le fonctionnement.
L’automne 2022 laisse ouverte une question qui décide pourtant de la valeur d’un jeton sur la durée : à partir de quel seuil un réseau devient-il assez distribué pour que plus personne ne puisse l’éteindre, et le marché est-il prêt à payer le prix de cette impossibilité ? Les votes annoncés par BNB Chain apporteront un premier élément de réponse, puisqu’ils diront qui décide, en pratique, du sort de deux millions de jetons.
