En une semaine d’octobre 2026, trois ponts cross-chain ont c\u00e9d\u00e9 \u00e0 la cha\u00eene. Le 17 octobre, Cysic<\/a> a perdu le contr\u00f4le de sa fonction de frappe sur BNB Smart Chain. Le 22 octobre, le pont multicha\u00eene de WAX<\/a> a rel\u00e2ch\u00e9 des actifs qu’il n’avait jamais re\u00e7us. Le 23 octobre, Initia<\/a> a mis toute sa blockchain \u00e0 l’arr\u00eat. Trois projets diff\u00e9rents, trois \u00e9quipes diff\u00e9rentes, sept jours: le site sp\u00e9cialis\u00e9 Shattered a r\u00e9sum\u00e9 la s\u00e9quence d’un titre, trois hacks en sept jours<\/a>.<\/p> Le butin cumul\u00e9 reste modeste \u00e0 l’\u00e9chelle de l’ann\u00e9e: environ 3,5 millions de dollars (pr\u00e8s de 3,15 millions d’euros) pour les trois affaires r\u00e9unies. Rien \u00e0 voir avec les 292 millions de dollars de Kelp DAO en avril ou les 320 millions de dollars du r\u00e9seau Liquid en septembre. Mais le montant n’est pas l’histoire. La cadence l’est. Quand trois ponts tombent en une semaine, et quand une \u00e9tude universitaire publi\u00e9e dix jours plus t\u00f4t recense d\u00e9j\u00e0 huit cent trente failles de ce type, le hasard n’explique plus rien. Ces attaques ne sont pas des accidents isol\u00e9s, ce sont les sympt\u00f4mes d’un d\u00e9faut de conception que l’industrie documente sans le corriger.<\/p> Le d\u00e9cor financier n’aide pas \u00e0 relativiser. Le Bitcoin traitait autour de 80 000 dollars (environ 72 000 euros) le 27 octobre, apr\u00e8s avoir touch\u00e9 79 250 dollars la veille, son plus bas depuis juillet, \u00e0 vingt-quatre heures de la d\u00e9cision de la R\u00e9serve f\u00e9d\u00e9rale am\u00e9ricaine, que les march\u00e9s voyaient maintenir ses taux \u00e0 environ 72 % de probabilit\u00e9 (Benzinga<\/a>). Dans un march\u00e9 d\u00e9j\u00e0 nerveux, chaque pont perc\u00e9 rappelle que la plomberie cross-chain reste le maillon faible, et nos lecteurs trouveront le contexte macro d\u00e9taill\u00e9 dans notre suivi de la r\u00e9union de la Fed du 28 octobre<\/a>.<\/p> Un mot sur les chiffres avant d’entrer dans le d\u00e9tail. Les montants sont donn\u00e9s en euros, convertis au cours du 27 octobre, o\u00f9 un euro valait environ 1,11 dollar (Trading Economics<\/a>), le chiffre en dollars \u00e9tant pr\u00e9cis\u00e9 entre parenth\u00e8ses puisque les sources d’origine raisonnent en dollars. Les termes techniques universels (bridge, smart contract, mint, flash loan) restent en anglais, conform\u00e9ment \u00e0 l’usage.<\/p> Le 17 octobre \u00e0 12 h 31 min 38 s UTC, un attaquant a cr\u00e9\u00e9 dix millions de jetons CYS sur BNB Smart Chain sans aucune contrepartie. Il ne s’agissait pas de voler des CYS existants: le pont les a fabriqu\u00e9s sur ordre. En quelques minutes, l’assaillant a revendu 7,2 millions de ces jetons et transf\u00e9r\u00e9 le produit, soit environ 306,6 ETH (pr\u00e8s de 727 000 dollars, environ 655 000 euros), vers Ethereum (CoinCentral<\/a>). Cysic a suspendu le pont \u00e0 13 h 47 min 52 s UTC, soit soixante-seize minutes apr\u00e8s le premier jeton frauduleux, puis a plac\u00e9 l’adresse r\u00e9ceptrice sur liste noire, ce qui a fig\u00e9 environ 2,8 millions de CYS encore en transit.<\/p> L’enqu\u00eate initiale pointe une cause inhabituelle: non pas une faille dans le code du contrat, mais un acc\u00e8s non autoris\u00e9 \u00e0 une base de donn\u00e9es qui soutenait le pont, doubl\u00e9 d’un d\u00e9tournement de la logique de traitement des messages. Autrement dit, l’attaquant a r\u00e9ussi \u00e0 faire croire \u00e0 l’infrastructure hors cha\u00eene qu’un d\u00e9p\u00f4t l\u00e9gitime avait eu lieu, et le contrat de frappe a ob\u00e9i. Le r\u00e9seau principal de Cysic et les soldes des clients sont rest\u00e9s intacts; seul le pont a servi de robinet. L’\u00e9quipe a propos\u00e9 une prime de 10 % pour la restitution, offre d\u00e9clin\u00e9e, et ouvert une revue de s\u00e9curit\u00e9 externe.<\/p> Ce sch\u00e9ma est d\u00e9sormais la signature des hacks de ponts en 2026: l’actif vol\u00e9 n’est pas pris dans un coffre, il est \u00e9mis de toutes pi\u00e8ces du c\u00f4t\u00e9 de destination. Nous l’avons d\u00e9crit en d\u00e9tail la semaine derni\u00e8re en montrant comment les attaquants pr\u00e9f\u00e8rent d\u00e9sormais fabriquer des jetons plut\u00f4t que vider le coffre<\/a>. Cysic en est une illustration de manuel: un pont qui frappe \u00e0 la demande est un distributeur automatique dont la seule s\u00e9curit\u00e9 est la conviction qu’un d\u00e9p\u00f4t a bien eu lieu ailleurs. Compromettez cette conviction, par le code ou par la base de donn\u00e9es, et la monnaie sort.<\/p> Cinq jours plus tard, le 22 octobre, le pont multicha\u00eene de WAX a laiss\u00e9 filer un assortiment de stablecoins et de jetons: 52 986 USDC, 21 558 USDT, 840 DAI, 2,55 WETH et 0,11 WBTC, pour une perte estim\u00e9e entre 75 000 et 90 500 dollars (environ 68 000 \u00e0 82 000 euros) selon les sources (CryptoTimes<\/a>). La faille tient dans la fonction de retrait: en saisissant des valeurs de frais n\u00e9gatives, l’attaquant a emp\u00each\u00e9 la d\u00e9duction correcte du solde c\u00f4t\u00e9 WAX, alors que le syst\u00e8me continuait \u00e0 ex\u00e9cuter la lib\u00e9ration des actifs sur les r\u00e9seaux de destination, Solana et Ethereum. La soci\u00e9t\u00e9 d’analyse Blockaid a signal\u00e9 les transactions suspectes.<\/p> Le m\u00e9canisme est limpide. Un pont \u00e0 comptabilit\u00e9 en miroir a besoin que les deux c\u00f4t\u00e9s s’accordent sur le fait qu’un d\u00e9p\u00f4t a eu lieu avant de lib\u00e9rer quoi que ce soit. Quand on parvient \u00e0 convaincre un c\u00f4t\u00e9 de sauter la v\u00e9rification du paiement, l’autre paie sur parole. Le bug des frais n\u00e9gatifs a fait exactement cela: la case qui aurait d\u00fb enregistrer un d\u00e9bit est rest\u00e9e vide, mais l’ordre de versement, lui, est parti. WAX a mis le pont en pause le 22 octobre, puis l’a rouvert le 23 avec des correctifs, des plafonds par transfert et la promesse de reconstituer les r\u00e9serves. La somme est petite, mais la nature du d\u00e9faut est la m\u00eame que chez Cysic: le pont a agi sur la foi d’un d\u00e9p\u00f4t qui n’existait pas.<\/p> La troisi\u00e8me affaire est la plus grave des trois, parce qu’elle a emport\u00e9 toute une blockchain. Le 23 octobre \u00e0 14 h 59 min 26 s UTC, un attaquant a lanc\u00e9 une transaction sign\u00e9e qui a frapp\u00e9 des actifs non adoss\u00e9s sur Initia en appelant directement une fonction Move, sans le message de pont qui aurait normalement d\u00fb garantir l’\u00e9mission. La cause: une faille de cache de script dans l’impl\u00e9mentation MoveVM d’Initia, construite sur le Cosmos SDK, qui a contourn\u00e9 les contr\u00f4les de s\u00e9curit\u00e9 et falsifi\u00e9 l’\u00e9tat de la machine virtuelle. Quarante-deux minutes plus tard, \u00e0 15 h 41 min 30 s UTC, l’\u00e9quipe a arr\u00eat\u00e9 le L1, les rollups et les flux de pont.<\/p> Avant le gel, les r\u00e9serves ont rel\u00e2ch\u00e9 environ 2,6 \u00e0 2,7 millions de dollars (pr\u00e8s de 2,4 millions d’euros) en actifs \u00e9tiquet\u00e9s AUSD, en ETH et en USDC, achemin\u00e9s vers Ethereum par LayerZero et par le protocole CCTP de Circle, tandis que les soldes de l’attaquant c\u00f4t\u00e9 Initia affichaient une valeur faciale de 7,48 millions de dollars (environ 6,7 millions d’euros). L’image qui restera de cette semaine est un chiffre: la r\u00e9serve d’USDC adoss\u00e9e \u00e0 la blockchain Noble, qui valait pr\u00e8s d’un million de dollars avant les retraits, est tomb\u00e9e \u00e0 un plancher intrajournalier de 63 dollars, et les retraits des utilisateurs ont \u00e9chou\u00e9 faute de contrepartie (CryptoSlate<\/a>). Au 27 octobre, le r\u00e9seau restait arr\u00eat\u00e9, le correctif en cours d’audit, sans date de reprise ni post-mortem complet publi\u00e9.<\/p> Initia pousse \u00e0 l’extr\u00eame la logique des deux incidents pr\u00e9c\u00e9dents. L\u00e0 o\u00f9 Cysic a \u00e9t\u00e9 tromp\u00e9 par sa base de donn\u00e9es et WAX par ses frais n\u00e9gatifs, Initia a \u00e9t\u00e9 tromp\u00e9 par son propre moteur d’ex\u00e9cution: le cache de script a servi de porte d\u00e9rob\u00e9e pour frapper \u00e0 volont\u00e9. Le pont n’est plus seulement le robinet, il devient la porte de sortie d’un vol qui prend racine dans le c\u0153ur de la cha\u00eene. Et quand la sortie est la r\u00e9serve, il suffit de 63 dollars restants pour geler tout un \u00e9cosyst\u00e8me.<\/p> Le choix d’arr\u00eater toute la cha\u00eene m\u00e9rite qu’on s’y attarde, car il r\u00e9sume le dilemme des \u00e9quipes face \u00e0 ce type d’attaque. Figer le r\u00e9seau stoppe l’h\u00e9morragie et emp\u00eache l’attaquant de convertir le reste de ses jetons fictifs, mais cela g\u00e8le aussi les fonds l\u00e9gitimes de tous les utilisateurs et transforme un incident de pont en panne g\u00e9n\u00e9rale. Initia a opt\u00e9 pour le bouton d’arr\u00eat d’urgence, comme BNB Chain l’avait fait en 2022; c’est un aveu que, pass\u00e9 un certain seuil, la seule parade imm\u00e9diate contre une frappe illimit\u00e9e est de couper le courant. La contrepartie est lourde: plusieurs jours d’immobilisation, une r\u00e9serve d’USDC \u00e0 reconstituer et une confiance \u00e0 regagner, sans date de reprise annonc\u00e9e au moment o\u00f9 nous \u00e9crivons.<\/p> Mis c\u00f4te \u00e0 c\u00f4te, les trois dossiers d’octobre racontent la m\u00eame histoire sous trois habillages techniques diff\u00e9rents. Aucun ne repose sur une cl\u00e9 priv\u00e9e vol\u00e9e au sens classique; tous reposent sur un pont qui a valid\u00e9 une information fausse.<\/p>Cysic: frapper dix millions de jetons sans les d\u00e9poser<\/h2>
WAX: payer un retrait sans jamais avoir re\u00e7u le d\u00e9p\u00f4t<\/h2>
Initia: la r\u00e9serve d’USDC tomb\u00e9e \u00e0 63 dollars<\/h2>
Trois incidents, un m\u00eame tableau<\/h2>