Exploit de retraits sans frais sur le pont WAX

Le 22 octobre 2026, le pont multi-chaînes de WAX a été exploité pour environ 90 500 $. Un contrôle de frais manquant dans la fonction eth.token::withdraw du pont a permis à un attaquant de retirer des jetons mappés du côté WAX sans céder la garantie que la comptabilité attendait, tandis que les contrats du pont sur Solana et Ethereum libéraient tout de même les actifs correspondants.

Ce qui s'est passé

WAX (Worldwide Asset eXchange) exploite un pont multi-chaînes qui émet des représentations « mappées » d'actifs conservés sur d'autres réseaux. La société de surveillance Blockaid a signalé un exploit actif le 22 octobre 2026 : l'attaquant a créé un nouveau compte WAX puis, environ une heure plus tard, a commencé à appeler la voie de retrait du pont. Comme la fonction eth.token::withdraw n'appliquait pas les frais de retrait, l'opération s'est déroulée gratuitement — l'attaquant a retiré des jetons mappés du côté WAX sans payer les actifs que la comptabilité supposait, tandis que les contrats du pont sur Solana et Ethereum libéraient toujours les jetons correspondants.

Au fil de cinq transactions, l'attaquant a extrait environ 52 986 USDC, 21 558 USDT, 840 DAI, 2,55 WETH et 0,11 WBTC. Les premiers décomptes situaient le butin près de 75 000 $ ; une comptabilité actualisée tenant compte des volets WETH et WBTC a porté l'estimation à environ 90 500 $.

Conséquences

Blockaid et SlowMist ont rendu l'incident public alors qu'il était encore en cours. Au moment de la rédaction, WAX n'avait publié aucune analyse post-mortem formelle ni divulgué d'efforts de récupération, et aucune identité d'attaquant, étiquette de portefeuille ou adresse on-chain n'avait été confirmée dans la couverture publique. Les enquêteurs ont averti que l'ampleur totale — et le fait de savoir si les pertes continuaient de croître — restait à vérifier. Le montant en dollars est modeste au regard des standards du catalogue, mais le mécanisme est la partie dangereuse : une seule voie de frais non protégée a désynchronisé la comptabilité à deux versants du pont.

Pourquoi c'est important

Un pont n'est aussi sûr que l'invariant selon lequel les actifs libérés sur une chaîne sont pleinement adossés à des actifs verrouillés ou débités sur l'autre. L'exploit de WAX est un cas d'école de désynchronisation comptable : le versant de libération a continué de payer alors que le versant source n'était pas débité comme le prévoyait la conception. Il fait écho au TokenBridge d'Alephium, où des approbations falsifiées ont déverrouillé des réserves de garde, et aux drains répétés du pont Verus-Ethereum, qui ont abusé d'une voie d'import/vérification non contrôlée — ainsi que, à une échelle bien plus vaste, à Ronin, dont le pont a libéré des fonds sur un invariant de poids de vote resté discrètement à zéro. Dans chaque cas, la perte n'est pas venue d'une cryptographie brisée mais d'un contrôle manquant dans le code censé maintenir honnêtes les deux moitiés du grand livre. Les petits ponts dotés d'une véritable garde inter-chaînes demeurent une cible molle récurrente, précisément parce que ces bugs de voie de frais et de validation sont faciles à négliger et immédiatement monétisables.