Exploitation inter-chaînes de Poly Network, août 2021 : ce qui s’est passé et ce qu’il faut vérifier

Autorisation, et non cryptographie

Poly Network est l’incident à citer lorsque quelqu’un décrit la sécurité des ponts comme un problème de cryptographie. Rien de cryptographique n’a failli ici. Une fonction du contrat de gestion inter-chaînes permettait au rôle de keeper — le compte privilégié qui autorise les retraits — d’être réattribué par un appelant qui n’aurait jamais dû pouvoir le faire. Une fois ce rôle réattribué, l’attaquant a simplement demandé au pont de libérer les fonds, et le pont s’est exécuté, car de son point de vue la demande était dûment autorisée.

La restitution

La quasi-totalité des actifs a été restituée au cours des jours suivants, l’attaquant communiquant par le biais des données d’entrée des transactions. Cette issue est inhabituelle et ne doit pas être considérée comme typique : l’écrasante majorité des exploitations de cette ampleur ne se termine pas par une restitution. Elle ne réduit pas non plus la gravité du défaut sous-jacent, qui aurait été tout aussi exploitable par quelqu’un n’ayant aucune intention de rendre quoi que ce soit.

Ce que cela signifie pour un lecteur

Les ponts concentrent le risque par conception : ils détiennent un collatéral mutualisé et exécutent une logique privilégiée pour décider du moment de sa libération. Lorsque vous en évaluez un, la question qui mérite d’être posée n’est pas de savoir quelle est la robustesse des signatures, mais qui — et quel chemin de code — peut modifier la liste de ceux qui sont autorisés à approuver un retrait.

Chronologie

Ajout seulement. Les corrections sont ajoutées sous la forme d'une entrée datée distincte ; les entrées antérieures ne sont jamais réécrites.

1. 10 Août 2021 Poly Network divulgue publiquement l'exploitation et publie les adresses de l'attaquant sur les trois chaînes. Poly Network
2. 11 Août 2021 L'attaquant commence à restituer les actifs, communiquant par le biais des données d'entrée des transactions. Poly Network

Ce qu'il faut vérifier

Poly Network a publié les adresses concernées et ses mises à jour de récupération sur ses canaux officiels à l'époque ; ces communications constituent la source de référence sur ce qui a été dérobé et sur ce qui a été rendu.

Conisec n'héberge ni ne relaie d'outils de récupération, de révocation ou de « vérification ». Après un incident public, les attaquants diffusent systématiquement ce type de liens en utilisant les noms des publications qui couvrent l'affaire. Utilisez le canal officiel du projet concerné, indiqué ci-dessus, et rien d'autre.

Sources

1. Poly Network, Official incident statement and attacker addresses (10 Août 2021)

Dernière vérification 5 août 2026 par Conisec Staff.