Polkadot : un attaquant crée 1 milliard de DOT pontés via une faille d'Hyperbridge

Ce qui s'est passé le 13 avril 2026

Hyperbridge, un protocole d'interopérabilité qui relie Polkadot à plusieurs réseaux compatibles EVM, a annoncé le 13 avril 2026 que sa Token Gateway avait été exploitée à l'aide de preuves forgées. Selon le communiqué publié le jour même par Hyperbridge, l'attaquant a créé 1 milliard de DOT pontés, c'est-à-dire des jetons ERC-20 émis par le pont pour représenter le DOT sur Ethereum, avant de les vendre sur un échange décentralisé.

Le premier bilan d'Hyperbridge faisait état d'environ 237 000 dollars de pertes réalisées sur Ethereum. L'équipe a suspendu toutes les opérations de pont peu après la détection de l'attaque.

Le DOT natif n'a pas été touché

Les jetons créés n'étaient pas des DOT de la blockchain Polkadot, mais leur représentation sur Ethereum gérée par le pont. Hyperbridge a précisé dans son communiqué du 13 avril que le DOT natif sur la relay chain, les parachains et les autres actifs pontés de l'écosystème restaient sûrs et non affectés. L'incident concernait donc la couche de règlement du pont, pas le protocole Polkadot lui-même.

Une faille dans la vérification des preuves

Les premiers éléments diffusés par Hyperbridge pointaient le code de vérification des preuves de Merkle utilisé par ses contrats Solidity. Le post-mortem publié le 14 mai 2026 détaille le mécanisme : le vérificateur de preuves MMR (Merkle Mountain Range) ne contrôlait pas que toutes les feuilles soumises se trouvaient dans les bornes de l'arbre. L'attaquant a pu soumettre une feuille légitime accompagnée d'une feuille forgée placée hors de l'arbre. Le vérificateur ignorait cette seconde feuille sans rejeter la preuve, et le message forgé était traité comme vérifié.

Ce type de faille de vérification de messages est une cause récurrente des piratages de ponts entre blockchains, qui doivent faire confiance à des preuves produites sur un autre réseau.

Des pertes revues à la hausse

Le 16 avril 2026, Hyperbridge a révisé son bilan. Selon sa mise à jour sur la récupération des fonds, l'attaque s'est déroulée en deux temps : une première extraction d'environ 245 ETH, puis la création non autorisée d'environ 1 milliard de DOT pontés. Les pertes réalisées ont été réévaluées à environ 2,5 millions de dollars en ETH et en DOT. Les pools DOT de quatre réseaux étaient concernés : Ethereum, Base, BNB Chain et Arbitrum. L'Intent Gateway et les autres produits d'Hyperbridge ont continué de fonctionner.

L'équipe indiquait suivre les fonds sur la chaîne, dont une part importante avait transité vers Binance, et travailler avec le service conformité de l'exchange et les autorités. Elle estimait qu'une récupération significative pourrait prendre des mois, voire jusqu'à un an. À défaut de récupération, Hyperbridge prévoit d'indemniser les utilisateurs touchés en jetons BRIDGE, avec des modalités annoncées un an après l'attaque.

Ce qui s'est passé depuis

Hyperbridge a ouvert une période de 14 jours pendant laquelle les fonds pouvaient être restitués sans poursuite. Au 23 avril 2026, un premier retour volontaire de 5,44346 ETH et d'environ 179 625 jetons CERE avait été reçu, une fraction des plus de 2 millions de dollars perdus selon l'équipe.

Côté technique, le post-mortem indique qu'un correctif permanent a été déployé en moins de 72 heures, dès le 16 avril. Un audit interne a ensuite mis au jour d'autres défauts, dont un signalé le 21 avril à Parity, qui a corrigé le même jour le module pallet-beefy-mmr de Polkadot. Au total, 14 vulnérabilités ont été corrigées, dont une critique et trois de gravité élevée. La bibliothèque solidity-merkle-trees est passée en version 1.0.0 le 11 mai 2026. Hyperbridge a ensuite relancé son service avec ces correctifs et ouvert un programme de bug bounty sur HackenProof, avec des primes de 200 à 50 000 dollars par vulnérabilité.