Le post-mortem secret est publié. L'histoire réelle : les personnes ayant modifié ce pont ne comprenaient pas comment fonctionnait son propre système d'authentification. Aucun auditeur externe n'a jamais été sollicité pour le vérifier. Et pendant trois ans, aucun attaquant ne l'a compris non plus. Le pont a résisté jusqu'à ce que (mon avis) une IA lise enfin le contrat et voit ce que chaque humain avait manqué. L'erreur semble presque stupide à posteriori. Le contrat a commencé comme un pont en dépôt, une consigne : il ne rendait jamais qu'un manteau qui avait été déposé précédemment, donc la question « ce dépôt est-il réel ? » était automatiquement répondue par la logique du ticket. Ensuite, il a été forké pour émettre des tokens Axelar à la place. Les tokens émis n'ont jamais été déposés, donc la logique du ticket ne correspondait plus et a été supprimée. Celui qui l'a fait n'a pas réalisé que ces fonctions exactes étaient les seules à vérifier la chaîne d'origine du dépôt. La liste autorisée qui les a remplacées vérifiait uniquement quel token pouvait être émis, jamais sa source. La porte était donc ouverte depuis janvier 2023. Puis quelqu'un a lancé une fausse chaîne, nommée un actif réel comme USDT, et a émis 4,67 M $ à partir de rien. La leçon ne concerne pas vraiment Secret. Pendant trois ans, découvrir cette faille exigeait un humain prêt à lire l'intégralité du contrat, et personne ne l'a fait. Cette barrière a disparu. Une IA lit tout cela attentivement pour quelques centimes. Donc, si votre contrat est public et n'a pas été audité par une IA, supposez que l'IA de l'attaquant la lit déjà. Auditez le vôtre en premier.