ZetaChain a-t-il ignoré un rapport de bug qui aurait pu empêcher un exploit de 334 000 $ ?
L’exploit de 334 000 $ de ZetaChain aurait pu être évité si l’équipe avait pris au sérieux les rapports de bugs antérieurs.
Dans le rapport post-mortem, l'équipe a admis que la vulnérabilité de la passerelle exploitée par l'attaquant avait été divulguée dans un programme de bug bounty, mais elle l'a rejetée.
Avant l'exploit, la classe de vulnérabilité avait été signalée via notre programme de bug bounty. Les rapports initiaux ont été rejetés car le comportement des appels arbitraires avait été pris en compte dès la conception.
À l’avenir, a ajouté le projet, il examinera toutes les soumissions de bug bounty pour garantir que « les rapports impliquant des vecteurs d’attaque en chaîne reçoivent une évaluation de gravité appropriée ».
Cela dit, le projet a précisé que les portefeuilles contrôlés par le protocole étaient ceux qui avaient drainé 334 000 $, ajoutant qu'aucun fonds d'utilisateur n'avait été perdu.
Les pertes liées au piratage cryptographique en avril dépassent 600 millions de dollars
En avril, les pertes dues à l’augmentation des piratages cryptographiques ont atteint 629 millions de dollars, selon les données suivies par DeFiLlama. Il s’agit du niveau de pertes mensuelles le plus élevé jusqu’à présent en 2026.
En fait, même en effectuant un zoom arrière sur une base annuelle, il s’agissait toujours de la perte la plus importante.
Source : DeFiLlama
Rien que cette semaine, Aftermath Perps a perdu 1,14 million de dollars tandis que Sweat Foundation a subi une violation de 3,5 millions de dollars. ZetaChain, Judao, Scallop Lend, Syndicate et Quant ont également subi des exploits allant de 150 000 $ à 413 000 $ chacun.
La semaine dernière, Volo Vault, Purrlend et Giddy se sont également ajoutés à la liste croissante des victimes. La victime la plus notable en avril est peut-être l’exploit de 293 millions de dollars du Kelp DAO, qui a déclenché des sorties massives dans l’écosystème DeFi.
Pourtant, certains de ces exploits sont évitables, en particulier grâce à de puissants programmes de bug bounty. Dans le cas de ZetaChain, par exemple, il y a eu une soumission de bug préalable, qui a été ignorée.
Dans le même temps, l’attaquant a effectué quelques tests avant l’exploit, qui ont pu être signalés par une surveillance rigoureuse des menaces.
L’industrie doit désormais faire face à un autre acteur menaçant puissant : les modèles basés sur l’IA. Les modèles de cybersécurité dotés de capacités offensives comme Mythos propulsé par Claude d’Anthropic et le GPT-5.5-Cyber d’OpenAI récemment annoncé n’ont pas encore été rendus publics.
La capacité offensive signalée de ces modèles devrait être un signal d’alarme pour que l’ensemble de l’industrie prenne les mesures de sécurité plus au sérieux ou oublie l’adoption massive.
Résumé final
ZetaChain a admis que son exploit de 334 000 $ provenait d'un bug précédemment signalé mais sans suite.
Les pertes liées aux piratages DeFi en avril ont désormais dépassé les 600 millions de dollars, soulignant la nécessité d'une détection proactive des menaces.