Une attaque a visé le pont d’Ankr sur Ethereum le 9 novembre 2026. Blockaid a d’abord estimé à environ 292 000 dollars les actifs retirés. SlowMist a ensuite évalué la perte à environ 304 500 dollars. Ces estimations restent distinctes d’un bilan définitif.

Sommaire

• Comment le pont a accepté cinq retraits
• Ce que les enquêteurs ont établi

Un même dépôt sert de référence à cinq retraits

Un pont permet de transférer des actifs entre deux réseaux. Il utilise un message pour attester ce qui s’est passé sur le réseau de départ, puis libère les jetons sur celui d’arrivée.

Selon SlowMist, l’attaquant a présenté cinq justificatifs falsifiés. Tous faisaient référence à la même transaction légitime sur Optimism, un réseau qui s’appuie sur Ethereum. Les justificatifs modifiaient le destinataire, les jetons et les montants à retirer.

Les cinq messages portaient des signatures que le pont reconnaissait comme valides, indique SlowMist. Le contrat a libéré les actifs sans vérifier que les détails des messages correspondaient à l’opération sur Optimism.

Les estimations restent provisoires

Blockaid a diffusé sa première alerte à 9 h 42, heure de Paris. À 10 h 14, SlowMist a publié son estimation et décrit le rôle des justificatifs. L’origine des signatures et le sort des fonds restent à établir.

L’incident concerne le pont d’Ankr côté Ethereum. La distinction compte, car une faille dans un pont touche le service qui autorise les transferts entre réseaux. Le piratage du pont Verus-Ethereum en mai 2026 illustrait déjà ce risque.

🔍 DUC, mon avis

Je regarderai comment Ankr entend vérifier chaque retrait à partir de la transaction de départ. Quand plusieurs retraits citent le même dépôt, le contrat doit pouvoir les reconnaître et les bloquer.

✍️ DUC

Sources

• Blockaid — Première alerte du 9 novembre 2026
• SlowMist — Analyse et estimation du piratage du pont d’Ankr