La société de sécurité Web3 GoPlus Security a rapporté que le nouveau protocole inter-chaînes x402bridge a subi une vulnérabilité de sécurité, entraînant la perte de plus de 200 utilisateurs de USDC, pour un total d'environ 17 693 USD. Les détectives on-chain et la société de sécurité SlowMist ont tous deux confirmé que la vulnérabilité était probablement due à la fuite de la clé privée de l'administrateur, permettant aux attaquants d'obtenir des droits de gestion spéciaux sur le contrat. GoPlus Security a urgemment conseillé à tous les utilisateurs possédant un portefeuille sur ce protocole d'annuler dès que possible les autorisations en cours et a rappelé aux utilisateurs de ne jamais accorder d'autorisation illimitée au contrat. Cet incident a révélé le risque de sécurité potentiel que la clé privée stockée sur le serveur dans le mécanisme x402 pourrait entraîner une fuite des droits d'administrateur.
Nouveau protocole x402bridge attaqué : autorisation excessive exposant la sécurité des clés privées
Le protocole x402bridge a subi une attaque de sécurité quelques jours après son lancement on-chain, entraînant des pertes de fonds pour les utilisateurs. Le mécanisme de ce protocole exige que les utilisateurs obtiennent d'abord l'autorisation du contrat Owner avant de frapper des USDC. Dans cet incident, c'est précisément cette autorisation excessive qui a conduit au transfert de plus de 200 utilisateurs de stablecoins restants.
L'attaquant a utilisé une clé privée divulguée pour voler des USDC des utilisateurs.
Selon les observations de GoPlus Security, le processus d'attaque pointe clairement vers l'abus de privilèges :
- Transfert de droits : L'adresse du créateur (0xed1A a transféré tous les droits à l'adresse 0x2b8F, lui accordant des droits de gestion spéciaux détenus par l'équipe x402bridge, y compris la capacité de modifier des paramètres clés et de transférer des actifs.
- Exécution de fonctionnalités malveillantes : Après avoir pris le contrôle, l'adresse du nouveau propriétaire a immédiatement exécuté une fonction appelée “transferUserToken”, permettant à cette adresse de retirer les USD Coins restants de tous les portefeuilles précédemment autorisés à ce contrat.
- Perte et transfert de fonds : L'adresse 0x2b8F a volé un montant total d'environ 17,693 USD en USDC auprès des utilisateurs, puis a échangé le butin contre de l'Ethereum et a transféré les fonds sur le réseau Arbitrum via de multiples transactions inter-chaînes.
Origine de la vulnérabilité : Risque de stockage de clé privée dans le mécanisme x402
L'équipe de x402bridge a répondu à cet incident de vulnérabilité, confirmant que l'attaque était due à une fuite de Clé privée, entraînant le vol de plusieurs équipes de test et de Portefeuille principaux. Le projet a suspendu toutes les activités et fermé le site Web, et a signalé l'incident aux autorités.
- Risque du processus d'autorisation : Le protocole avait précédemment expliqué le fonctionnement de son mécanisme x402 : les utilisateurs signent ou approuvent les transactions via une interface web, et les informations d'autorisation sont envoyées au serveur backend, qui extrait ensuite des fonds et crée des jetons.
- Risque d'exposition de la clé privée : L'équipe admet : “Lorsque nous serons en ligne sur x402scan.com, nous devrons stocker la clé privée sur le serveur pour pouvoir appeler les méthodes de contrat.” Cette étape peut entraîner l'exposition de la clé privée de l'administrateur pendant la phase de connexion à Internet, ce qui pourrait provoquer une fuite de permissions. Une fois que la clé privée est volée, les hackers peuvent prendre le contrôle de tous les droits d'administrateur et redistribuer les fonds des utilisateurs.
Quelques jours avant cette attaque, l'utilisation du x402 a connu une forte augmentation. Le 27 octobre, la capitalisation boursière du token x402 a dépassé pour la première fois 800 millions de dollars, et le volume des transactions du protocole x402 sur les principales CEX a atteint 500 000 transactions en une semaine, avec une croissance de 10 780 %.
Conseils de sécurité : GoPlus appelle les utilisateurs à révoquer immédiatement l'autorisation
Étant donné la gravité de cette fuite, GoPlus Security recommande en urgence aux utilisateurs possédant un portefeuille sur ce protocole d'annuler immédiatement toute autorisation en cours. La société de sécurité rappelle également à tous les utilisateurs :
- Vérifiez l'adresse : Avant d'approuver tout transfert, vérifiez que l'adresse autorisée est l'adresse officielle du projet.
- Montant d'autorisation limité : Autorisez uniquement le montant nécessaire, ne donnez jamais une autorisation illimitée au contrat.
- Vérifications régulières : Vérifiez régulièrement et révoquez les autorisations inutiles.
Conclusion
L'incident de fuite de clé privée sur x402bridge a de nouveau tiré la sonnette d'alarme sur les risques que présentent les composants centralisés (comme le stockage de clés privées sur des serveurs) dans le domaine du Web3. Bien que le protocole x402 vise à réaliser des paiements de stablecoin instantanés et programmables en utilisant le code d'état HTTP 402 Payment Required, les vulnérabilités de sécurité dans son mécanisme de mise en œuvre doivent être corrigées immédiatement. Pour les utilisateurs, cette attaque est une leçon coûteuse, nous rappelant qu'il est essentiel de rester vigilant et de gérer avec prudence l'autorisation des portefeuilles lors de l'interaction avec tout protocole blockchain.
Avertissement : Les informations contenues dans cette page peuvent provenir de tiers et ne représentent pas les points de vue ou les opinions de Gate. Le contenu de cette page est fourni à titre de référence uniquement et ne constitue pas un conseil financier, d'investissement ou juridique. Gate ne garantit pas l'exactitude ou l'exhaustivité des informations et n'est pas responsable des pertes résultant de l'utilisation de ces informations. Les investissements en actifs virtuels comportent des risques élevés et sont soumis à une forte volatilité des prix. Vous pouvez perdre la totalité du capital investi. Veuillez comprendre pleinement les risques pertinents et prendre des décisions prudentes en fonction de votre propre situation financière et de votre tolérance au risque. Pour plus de détails, veuillez consulter l'
avertissement.
Articles similaires
Le vote de la communauté dYdX approuve l’utilisation de 10 millions de USDC du fonds d’assurance pour financer le DAO
La Fondation dYdX a annoncé le 2 avril avoir adopté, via un vote on-chain de la communauté #372, le financement, à partir du fonds d’assurance, de 10 millions de USDC pour soutenir le fonctionnement du DAO. Les fonds seront répartis entre le sous-DAO d’exploitation, le sous-DAO de trésorerie et la fondation, pour l’exploitation, les réserves et le développement de l’écosystème. À l’heure actuelle, le fonds d’assurance détient environ 17 millions de USDC.
GateNewsIl y a 9h
Dérive : confirmation de l’exploitation de 280 millions de dollars US, risque de contagion aux flux de capitaux USDC
Drift confirme l’exploit de 280 millions USD, le risque se propage aux flux de capitaux en USDC
Drift indique que l’exploit de 280 millions USD provient d’une approbation de transactions non autorisées via un durable nonce, ce qui suscite des inquiétudes quant à la sécurité de l’USDC et aux flux de capitaux.
Drift confirme que l’exploit d’une valeur de 280 millions USD ne provient pas d’une erreur du contrat intelligent
TapChiBitcoinIl y a 11h
Circle sous le feu des critiques pour avoir laissé 285M $ en USDC volés circuler librement pendant le piratage par dérive
L’enquêteur on-chain ZachXBT a critiqué Circle le 2 avril 2026 pour ne pas avoir agi pendant que des millions de USDC volés transitaient via son protocole de transfert inter-chaînes (Cross-Chain Transfer Protocol, CCTP) durant l’exploitation du protocole Drift (Drift Protocol), d’une valeur de 285 millions de dollars, malgré le fait que l’émetteur avait gelé 16 portefeuilles professionnels (business wallets) jours plus tôt dans une affaire civile scellée.
CryptopulseEliteIl y a 13h
Deux Taïwanais arrêtés après un pari sur Polymarket ! Le parquet dévoile la première affaire de marché de prédiction de l’élection « neuf-en-un » en crypto-monnaies
Le Bureau du procureur du district de Yunlin a démantelé la toute première affaire nationale de paris illégaux liés à l’élection « neuf-en-un » portant sur des plateformes d’enjeux en crypto-monnaies. Deux parieurs font l’objet d’une enquête pour violation de la 《loi sur l’élection et la révocation》 et pour le délit de jeu. Dès le mois de février, la police avait déjà averti de l’illégalité de ce type de paris. Cette affaire montre que les transactions en chaîne ne sont pas anonymes et qu’elles peuvent être retracées, ce qui affecte l’impartialité de l’élection.
ChainNewsAbmediaIl y a 14h
