L’organisation de sécurité on-chain Blockaid a surveillé le 20 mai une attaque contre le composant de pont inter-chaînes Butter Bridge V3.1, relevant de MAP Protocol, sur Ethereum et BSC. L’attaquant a exploité une faille de conception du contrat intelligent, en incitant le contrat de pont à frapper illégalement directement environ 10 000 milliards d’unités MAPO vers une adresse nouvellement créée, soit environ 4,8 millions de fois le volume en circulation légitime de 208 millions d’unités.
Mécanisme de l’attaque : une faille de conception du contrat intelligent dans le processus de validation des messages en “retry”
Blockaid confirme que la cause profonde de cette attaque est une faille de conception du contrat intelligent dans la logique de “retry” du processus de validation des messages de Butter Bridge V3.1. Il s’agit d’un problème au niveau de l’implémentation du contrat, et non d’une défaillance de l’architecture sous-jacente du protocole MAP Protocol. L’attaquant, en induisant l’exécution de chemins de validation erronés, a fait contourner au contrat de pont les contrôles de vérification des justificatifs inter-chaînes légitimes, en frappant directement des tokens sur la chaîne Ethereum vers une nouvelle adresse EOA.
Un pont inter-chaînes doit, sur le plan technique, valider simultanément des messages provenant de deux blockchains indépendantes, chacune disposant de son propre mécanisme de consensus, de son modèle de sécurité et de ses règles de finalisation des transactions. La conception de MAP Protocol adopte un modèle pair à pair et une validation par client léger : en théorie, elle présente une surface d’attaque plus réduite que des solutions reposant sur des valideurs tiers de confiance. Toutefois, dans cet incident, une faille de conception dans la logique de “retry” du contrat fournit une entrée exploitable. Butter Network confirme que les travaux de correction, d’audit et de redéploiement sont en cours.
Ordre de grandeur des pertes et réaction du marché sur MAPO : données confirmées
Montant encaissé par l’attaquant : 52,21 ETH (environ 180 000 dollars), provenant du pool de liquidité Uniswap V4 ETH/MAPO
Position restante de l’attaquant : environ 9 999,99 milliards d’unités MAPO, toujours dans le portefeuille de l’attaquant, ce qui constitue un risque continu pour tous les pools de liquidité liés à MAPO ainsi que pour les listings sur les CEX
Impact du prix de MAPO : chute d’environ 30% sur une journée après la vente
Quantité totale frappée illégalement : environ 10 000 milliards d’unités, soit 4,8 millions de fois le volume en circulation légitime (208 millions d’unités)
Pertes cumulées dues aux attaques sur les ponts inter-chaînes en 2026 (jusqu’à la mi-mai) : plus de 328,6 millions de dollars
Mesures d’atténuation confirmées par MAP Protocol et Butter Network
La déclaration officielle de MAP Protocol confirme les mesures de freinage suivantes déjà mises en œuvre : le pont entre MAPO ERC-20 et le réseau principal MAPO a été suspendu ; avertissement aux utilisateurs de ne pas échanger le token MAPO ERC-20 sur Uniswap pour le moment ; durant la période de mesures d’atténuation, les pools de liquidité conservent un risque ; l’équipe coordonne des investigations avec des partenaires externes de sécurité.
La déclaration officielle de Butter Network confirme : ButterSwap a suspendu l’ensemble de ses opérations ; les travaux de correction, d’audit et de redéploiement sont en cours ; les transactions en attente seront traitées après le rétablissement de la sécurité ; les fonds des utilisateurs n’ont subi aucune perte directe, et toutes les transactions affectées seront traitées intégralement une fois le système rétabli.
Questions fréquentes
Cette attaque relève-t-elle d’une faille de l’architecture du protocole de base de MAP Protocol ?
Blockaid confirme que le bug en cause relève d’un problème de conception du contrat intelligent de Butter Bridge V3.1, précisément sur le processus de validation des messages en “retry”. Il s’agit d’une faille au niveau de l’implémentation du contrat, et non d’une défaillance fondamentale du modèle d’architecture pair à pair sous-jacent de MAP Protocol ou de la validation par client léger. Butter Network procède actuellement à la correction de ce composant et à un nouvel audit.
Pourquoi la position restante d’environ 9 999 milliards d’unités de MAPO détenue par l’attaquant constitue-t-elle un risque continu ?
L’attaquant conserve encore dans son portefeuille environ 9 999,99 milliards d’unités de MAPO frappées illégalement, soit plusieurs milliers de fois plus que le volume de circulation légitime (208 millions d’unités). Si l’attaquant choisit d’investir ces tokens dans n’importe quel pool de liquidité MAPO ou de déposer une demande de listing sur une bourse centralisée, cela aura un impact considérable sur le prix du marché MAPO et la liquidité. Le communiqué de Blockaid indique clairement que cette position “constitue un risque continu pour tout pool MAPO ou pour tout listing sur CEX”.
Pourquoi les ponts inter-chaînes continuent-ils d’être des cibles d’attaque à haut risque pour l’écosystème DeFi ?
Les ponts inter-chaînes doivent, dans leur architecture technique, traiter simultanément des messages provenant de deux blockchains indépendantes, chacune disposant de mécanismes de consensus, de modèles de sécurité et de règles de finalisation différents. Les contrats de pont verrouillent généralement de grandes quantités d’actifs sur l’une des chaînes, puis frappent des tokens correspondants sur l’autre chaîne. Dès lors que la logique de pont comporte une faille, un attaquant peut voler les actifs verrouillés ou frapper des tokens sans aucun adossement de fonds. Les cas historiques incluent l’attaque du Nomad Bridge en 2022, avec plus de 186 millions de dollars dérobés (erreur d’authentification), ainsi que des attaques contre Ronin Bridge et Wormhole ; à ce jour en 2026, les pertes cumulées de ce type d’attaque ont déjà dépassé 328,6 millions de dollars.
