Un exploit de 24,15 millions de dollars sur une passerelle tierce opérant sur Arbitrum est devenu une leçon très publique sur les passerelles sur lesquelles vous pouvez faire confiance avec vos cryptomonnaies. Steven Goldfeder, PDG et cofondateur d’Offchain Labs, a utilisé cet incident pour détailler exactement comment son équipe évalue la gestion des risques liés aux passerelles, et pourquoi la passerelle native Arbitrum appartient à une catégorie de sécurité fondamentalement différente.
La violation a touché AFX Trade le 22 juillet, lorsque des attaquants ont compromis les clés de validateur sur le protocole de pont et ont vidé environ 24,15 millions de dollars en USDC. Les fonds volés ont ensuite été échangés contre environ 12 467 ETH. Goldfeder a confirmé que l'exploitation provenait entièrement d'un protocole tiers et que le pont natif d'Arbitrum est resté sécurisé tout au long de l'incident.
Natifs vs. tiers : une distinction qui compte
La passerelle native d'Arbitrum hérite de sa sécurité directement de l'architecture du rollup, protégée par le même mécanisme qui sécurise l'ensemble du réseau Arbitrum, qui repose ultimement sur les garanties de sécurité d'Ethereum. Les passerelles tierces comme AFX Trade fonctionnent indépendamment, introduisant leurs propres hypothèses de confiance, pratiques de gestion des clés et ensembles de validateurs.
Goldfeder, titulaire d’un doctorat en cryptographie appliquée de l’Université de Princeton, a souligné qu’Offchain Labs a amélioré la sécurité des ponts grâce à une combinaison de mesures techniques et d’éducation des utilisateurs. L’entreprise effectue également une diligence raisonnable sur les ponts tiers opérant au sein de l’écosystème Arbitrum, bien que l’incident AFX Trade démontre les limites de la supervision lorsque des protocoles externes gèrent leur propre infrastructure de sécurité.
L'exploitation et ses conséquences
L'attaque sur AFX Trade a suivi un scénario malheureusement familier. Des clés de validateur compromises ont donné aux attaquants la capacité d'autoriser des retraits frauduleux, un schéma de vulnérabilité qui hante les ponts cross-chain depuis les tout débuts du DeFi multi-chaînes. Une fois les clés compromises, les attaquants ont agi rapidement, vidant les USDC avant de les convertir en ETH pour obscurcir la trace.
AFX Trade a proposé un accord de récompense white-hat à l'attaquant : restituer 70 % des fonds volés et conserver le reste comme récompense pour bug. L'incident n'était pas isolé. Juillet 2026 a vu au moins 14 violations de sécurité enregistrées dans le secteur crypto.
Ce que cela signifie pour les investisseurs
Le choix du pont est important. Les utilisateurs qui transfèrent des actifs entre Ethereum et Arbitrum doivent faire un choix entre le pont natif, qui bénéficie de garanties de sécurité au niveau du rollup, et des options tierces qui offrent rapidité ou commodité, mais introduisent des vecteurs de risque supplémentaires.
L’approche déclarée d’Offchain Labs consistant à mener des vérifications approfondies sur les ponts tiers positionne Arbitrum comme un réseau qui tente au moins de sélectionner ses partenaires d’infrastructure, même si cette sélection présente clairement des limites. Une série continue d’attaques sur des ponts — 14 en un seul mois — fournit aux régulateurs des arguments pour imposer des directives plus strictes sur la technologie de pontage et les protocoles interchaînes.