Exploitation de la vérification de signature de Wormhole, février 2022 : ce qui s’est passé et ce qu’il faut vérifier

Vérifier que la vérification a bien eu lieu

Le modèle de sécurité de Wormhole repose sur un ensemble de gardiens dont les signatures attestent qu’un dépôt a eu lieu sur la chaîne d’origine. Le contrat côté Solana avait la charge de vérifier ces signatures avant d’émettre les actifs enveloppés. La faille permettait de satisfaire ce contrôle sans véritable approbation des gardiens — le contrat a donc émis 120 000 wETH en regard d’un dépôt qui n’avait jamais été effectué.

La collatéralisation n’est qu’une affirmation tant que vous ne la vérifiez pas

L’exposition concrète pour un utilisateur était subtile. Les actifs enveloppés sur Solana ont continué de fonctionner normalement ; rien ne s’est visiblement cassé pour un détenteur. Ce qui avait changé, c’est que l’offre enveloppée dépassait le collatéral qui l’adossait. Si le déficit n’avait pas été comblé, c’est la parité qui aurait cédé, et les détenteurs auraient découvert le problème au moment de vouloir procéder au rachat.

C’est la leçon honnête de cet incident, et elle est inconfortable : la solvabilité a été rétablie par le bilan d’un sponsor. Les détenteurs d’actifs enveloppés ont été indemnisés par un acte discrétionnaire. Lorsque vous évaluez un actif enveloppé ou transféré par un pont, la question est de savoir ce qui se passe si le garant refuse — car c’est précisément le scénario auquel l’enveloppe est censée survivre par elle-même.

Chronologie

Ajout seulement. Les corrections sont ajoutées sous la forme d'une entrée datée distincte ; les entrées antérieures ne sont jamais réécrites.

1. 2 Fév 2022 L'exploitation est exécutée et détectée ; Wormhole met le pont hors service et confirme publiquement l'incident. Wormhole
2. 3 Fév 2022 Wormhole publie son rapport d'incident ; le déficit de 120 000 ETH est comblé et le pont est rétabli. Wormhole

Ce qu'il faut vérifier

Wormhole a publié un rapport d'incident écrit, dont le lien figure ci-dessous, avec le détail technique de la faille de vérification et de la remédiation.

Conisec n'héberge ni ne relaie d'outils de récupération, de révocation ou de « vérification ». Après un incident public, les attaquants diffusent systématiquement ce type de liens en utilisant les noms des publications qui couvrent l'affaire. Utilisez le canal officiel du projet concerné, indiqué ci-dessus, et rien d'autre.

Sources

1. Wormhole, Wormhole Incident Report — 02/02/22 (3 Fév 2022)

Dernière vérification 5 août 2026 par Conisec Staff.