Le braquage le plus stupide ? Un hacker a forgé 1 milliard de dollars en $DOT, mais a volé seulement 230 000 dollars à cause de « cette raison »

Les incidents d’attaques de cryptomonnaies sont de plus en plus fréquents, mais il est rare de voir des cas où l’on « prend de gros risques pour gagner peu ». Ce matin (13), un hacker a exploité une faille dans le pont inter-chaînes Hyperbridge, créant de toute pièce 1 milliard de jetons Polkadot (DOT) sur Ethereum, d’une valeur nominale de 1,19 milliard de dollars. Cependant, lorsqu’il a tenté de vendre ces jetons, il n’a pu en obtenir qu’environ 237 000 dollars en ETH en raison d’un manque de liquidité sévère.
Il est important de préciser que l’attaque visait le « contrat intelligent du pont inter-chaînes », donc les jetons DOT natifs sur le réseau principal de Polkadot n’ont pas été affectés. La principale cause de cette faille est que le contrat EthereumHost de Hyperbridge n’a pas correctement vérifié la véracité du message lorsqu’il a transmis l’information au TokenGateway.

Le pont $DOT (@Polkadot) vient d’être exploité sur @ethereum.

Le contrôle a été transféré au contrat de l’attaquant, puis 1 milliard de $DOT ont été créés et immédiatement vendus. Le prix est passé de 1,22 $ à une fraction de cent.https://t.co/ECDT0RaHE9 pic.twitter.com/WUwxjtsNwr

— Onchain Lens (@OnchainLens) 13 avril 2026

Les ponts inter-chaînes ont toujours été la partie la plus vulnérable de l’architecture blockchain, car ils détiennent le contrôle de gestion des contrats de jetons. Si le mécanisme de vérification est compromis, un hacker peut facilement obtenir le pouvoir de créer une quantité infinie de jetons.
Méthodes d’attaque : falsification de messages, prise de contrôle de la gestion, création illimitée de jetons
Le suivi sur la blockchain montre que le hacker a soumis un message falsifié via dispatchIncoming, qui a été dirigé avec succès vers TokenGateway.onAccept. Normalement, le système aurait dû vérifier la véracité de ce message en se basant sur l’état de la chaîne Polkadot, mais le mécanisme de vérification a enregistré la valeur de la promesse comme étant « zéro », ce qui signifie que la procédure de vérification a été complètement contournée ou n’a pas existé. Le système a alors considéré ce faux message comme une instruction légitime.
Le message accepté a immédiatement déclenché la fonction changeAdmin du contrat de jetons Polkadot, transférant le contrôle à l’adresse de l’attaquant. Après avoir obtenu le contrôle, l’attaquant a créé 1 milliard de DOT en une seule transaction, puis, via Odos Router V3, a injecté ces jetons dans la pool DOT-ETH de Uniswap V4. Après plusieurs échanges à des prix légèrement différents, il a finalement retiré environ 108,2 ETH.
« Manque de liquidité » comme bouclier de protection
Dans le marché financier, le « manque de liquidité » est souvent le problème le plus redouté par les gros investisseurs, mais de façon ironique, cette fois, le manque de liquidité a agi comme un bouclier invisible, limitant considérablement le profit potentiel de l’attaquant.
Étant donné que la profondeur de liquidité du DOT sur Ethereum est extrêmement limitée, elle ne peut pas absorber ces 1 milliard de jetons créés de toute pièce. Lorsqu’il a voulu vendre rapidement pour encaisser, la chute drastique du prix a fait que la valeur réelle de chaque jeton est tombée à moins d’un centime.
Sur une plateforme avec une liquidité plus profonde ou un actif de valeur plus élevée, la même faille aurait pu causer des pertes des dizaines de fois supérieures. Au moment de la rédaction, le prix du DOT est d’environ 1,17 dollar, en baisse de 5 % au cours des 24 dernières heures.
Cet incident démontre une fois de plus que, même si un hacker détient le « pouvoir de créer des jetons à l’infini », la réussite de l’arbitrage dépend finalement de la liquidité du marché et de la profondeur des échanges. L’organisme de sécurité blockchain CertiK a confirmé cette attaque, indiquant que le hacker a réalisé un profit d’environ 237 000 dollars en créant et en vendant les jetons du pont.
Jusqu’à présent, Hyperbridge n’a pas publié de déclaration officielle concernant cet incident.

#CertiKInsight 🚨

Nous avons constaté une exploitation sur le contrat de passerelle @hyperbridge. https://t.co/h27iDm1JGd

L’attaquant a réussi à passer un message falsifié pour changer l’administrateur du contrat de jetons Polkadot sur Ethereum et a profité d’environ $237K en créant et en vendant 1 milliard de jetons.

Restez… pic.twitter.com/3t2n4uq5hy

— CertiK Alert (@CertiKAlert) 13 avril 2026