Taiko a été victime d'un piratage de 1,7 million de dollars. Puis le cours du token a été multiplié par 9.

Le 22 juin, quelqu’un a détourné 1,7 million de dollars du pont Ethereum L2 de Taiko. Non pas en exploitant une faille astucieuse dans un contrat intelligent, mais en mettant la main sur une clé privée. Il s’agissait d’une clé RSA-3072 nommée « enclave-key.pem », qui se trouvait dans le dépôt GitHub public de Taiko (taikoxyz/raiko) et que toute personne disposant d’un compte pouvait télécharger librement. Cette clé était censée rester verrouillée au sein d’une enclave Intel SGX, où elle signe les preuves indiquant au pont « oui, ce retrait est authentique ». Au lieu de cela, l’attaquant s’en est emparé, a enregistré son propre matériel factice en tant que vérificateur de confiance, puis a falsifié des preuves de retrait que le pont n’avait aucune raison de remettre en cause. La production de blocs s’est arrêtée. L’équipe a demandé à tout le monde de retirer immédiatement ses fonds de tous les ponts du réseau.

Dix jours plus tard, le 2 juillet, le pont a rouvert. Tous les utilisateurs concernés ont été intégralement dédommagés à partir de la trésorerie, selon l’annonce faite par Taiko. Et c’est là que les choses ont pris une tournure étrange.

TAIKO ne s’est pas contenté de se redresser: il a explosé. Après avoir atteint son plus bas historique à environ 0,058 $ le 29 juin, le token a grimpé jusqu’à 0,52 $ en l’espace de 24 heures, soit une multiplication par 9, avant de se stabiliser à environ 0,13–0,14$. Cela représente tout de même environ le double de son cours immédiatement après le piratage. CoinDesk a enregistré une hausse pouvant atteindre 136% en une seule séance; CoinGecko fait état d’une hausse de 114% sur la semaine. Le volume des échanges a explosé, dépassant les 100 millions de dollars en une journée pour un token dont la capitalisation boursière s’élève à 27 millions de dollars.

Il y a un an, le schéma était le suivant: un « shitcoin » est retiré d’une bourse, son cours s’envole, personne ne peut expliquer pourquoi, si ce n’est par « une pression à la vente moindre, moins de gens sensés qui surveillent ». À présent, il semble que la fuite de sa clé de signature sur GitHub et la perte d’un montant à sept chiffres aient le même effet. Peut-être s’agit-il d’achats de soulagement: le problème a été résolu, tout le monde a été remboursé, alors pourquoi ne pas se jeter dans la course? Peut-être s’agit-il simplement d’un jeton à faible flottant où n’importe quel titre d’actualité, bon ou mauvais, suffit à faire monter son cours en flèche. Probablement les deux.

Il est toutefois important de se rappeler ce qui s’est réellement passé ici. Il ne s’agissait pas d’une faille du contrat intelligent. L’ensemble de la configuration multi-preuve de Taiko, avec SGX et des backends ZK, avait été conçue de telle sorte qu’un attaquant devrait pirater deux systèmes indépendants en même temps. Mais tout cela n’avait aucune importance, car la clé n’était de toute façon pas censée quitter l’enclave, et elle s’est retrouvée à un endroit où n’importe quel script pouvait la trouver. Ce n’est pas un échec de la cryptographie. C’est un échec de.gitignore. PeckShield estime le montant total des piratages de ponts en 2026 à plus de340 millions de dollars, répartis sur au moins 14 incidents, et le point commun à la plupart d’entre eux n’est pas une erreur mathématique, mais le fait que quelqu’un ait oublié de verrouiller une porte.

Taiko annonce qu’une analyse rétrospective complète est en cours. En attendant: le pont fonctionne, les utilisateurs ont récupéré leur argent, et le graphique donne l’impression qu’il ne s’est jamais rien passé de grave.