Exploit de rejeu de dépôt sur le pont Ethereum d'Ankr

Le 9 novembre 2026, le pont Ethereum d'Ankr a été vidé d'environ 303 600 dollars lorsqu'un attaquant a rejoué un dépôt Optimism minuscule déjà racheté pour autoriser cinq retraits frauduleux.

Ce qui s'est passé

Le pont d'Ankr permet aux utilisateurs de déplacer des actifs de staking liquide depuis une chaîne et de les retirer sur une autre. L'exploit a abusé de la gestion par le pont des dépôts déjà rachetés : les cinq retraits frauduleux faisaient référence à un unique dépôt Optimism du 3 novembre qui n'avait déplacé que 0,0044024803 ankrETH vers Ethereum — un montant déjà retiré sur Ethereum le jour même. L'attaquant a resoumis ce dépôt déjà consommé, à chaque fois avec des informations de reçu modifiées, et le pont n'a pas rejeté le reçu réutilisé mais a autorisé cinq retraits démesurés vers un seul portefeuille entre environ 08h09 et 08h12 UTC. Les actifs drainés étaient 82,91 ankrETH (~216 370 $), 515 206 ankrPOL (~56 372 $) et environ 7,98 millions d'ANKR (~30 857 $), plus des aMATICb et aETHb non valorisés. La société de sécurité Blockaid a signalé l'exploit en cours vers 08h42 UTC, estimant d'abord environ 292 000 $ sur les cinq transactions ; la valorisation des trois tokens cotés a porté le chiffre près de 303 600 $. La couverture médiatique a divergé sur la cause racine : certains médias ont évoqué une clé d'administration compromise, d'autres la faille de vérification du rejeu de dépôt.

Conséquences

Ankr n'a pas publié de déclaration publique immédiate, et l'indicateur de pause on-chain du pont affichait encore false bien après le drainage, laissant incertain si d'autres retraits avaient été endigués. Au moment de la publication, aucun fonds n'avait été récupéré. L'incident s'est ajouté à un long historique de problèmes de l'infrastructure d'Ankr, déjà frappée en 2022 lorsqu'un bug de création infinie a détruit son token de staking liquide aBNBc sur BNB Chain.

Pourquoi c'est important

Ankr est un classique échec de vérification de rejeu sur un pont — la même catégorie de bug qui permet aux attaquants de réutiliser des messages ou des preuves pour réclamer une valeur qu'ils n'ont jamais transférée. Nomad Bridge est tombé en 2022 lorsqu'une initialisation défectueuse a rendu chaque message rejouable, et les ponts continuent d'échouer partout où un reçu de dépôt n'est pas strictement lié à un unique retrait non rachetable. Qu'un dépôt minuscule de 0,0044 ankrETH ait pu être étiré jusqu'à un drainage à six chiffres souligne le peu dont un attaquant a besoin lorsqu'un pont ne marque pas un dépôt comme consommé. Même des pertes inférieures à 1 million de dollars entament la confiance dans les ponts de staking liquide, où les fonds des utilisateurs dépendent entièrement de la comptabilité qui lie un dépôt sur une chaîne à exactement un retrait sur une autre.