Des escrocs ont créé une fausse plateforme Upbit L2 et ont dérobé 2 millions de dollars en ETH.

Auparavant, les escrocs du secteur des cryptomonnaies se contentaient d'un site web cloné ou d'un jeton contrefait. Cette fois-ci, quelqu'un a construit une blockchain entière.

Ce week-end, une version contrefaite de GIWA, la couche 2 d'Ethereum développée par Dunamu, l'opérateur d'Upbit, a collecté environ 767 ETH provenant de 1 335 adresses. Le pont a ensuite été vidé. Au total, environ 766 ETH, soit près de 2 millions de dollars au cours actuel, ont été retirés en une seule transaction.

Le véritable réseau principal de GIWA n'existe pas. La documentation de Dunamu ne mentionne qu'un réseau de test Sepolia, et GIWA a déclaré sur X qu'aucun RPC de production n'a été déployé. Tous ceux qui ont transféré de l'ETH réel l'envoyaient vers un réseau qui n'est pas celui d'Upbit, qui n'utilise pas le code d'Upbit et qui ne l'utilisera jamais.

Comment une fausse chaîne a obtenu de vrais dépôts

Le faux réseau n'était pas une simple page d'accueil avec un bouton « Connecter mon portefeuille ». Il comportait un point de terminaison RPC, un pont fonctionnel, un système de traitement par lots et une infrastructure de type OP Stack. Les utilisateurs pouvaient s'y connecter, et Gokhshtein Media rapporte que la chaîne affichait même des achats, des ventes et des lancements de jetons, ce qui laissait penser qu'elle était très active.

Il a également utilisé l'identifiant de chaîne 9134, lié au lancement prévu de GIWA. Ce détail a été déterminant. Un identifiant de chaîne indique à un portefeuille le réseau auquel il se connecte, mais ne renseigne en rien sur l'entité qui contrôle l'appel de procédure distante (RPC) ni sur le pont sous-jacent, comme l'a souligné CryptoSlate dans son article.

L'analyste blockchain Stablemark a retracé le montage. Les portefeuilles liés à l'opération ont été approvisionnés via ChangeHero le 26 septembre. Environ 11 heures plus tard, le portefeuille Safe contrôlant le système et le faux pont ont été activés. Pendant les 13 heures suivantes, les dépôts ont afflué : 1 333 portefeuilles et 767 ETH selon le décompte de Stablemark.

Les opérateurs ont ensuite modifié le code du portail du pont et ont retiré 766 ETH en une seule opération. Personne n'a exploité de bug. Les escrocs étaient propriétaires du contrat, ils l'ont donc modifié.

Les fonds volés sont déjà en circulation. Stablemark a indiqué que 177 ETH ont transité par Tornado Cash, tandis que les 589 ETH restants étaient répartis dans quatre portefeuilles au moment de sa mise à jour. Cela représente un total de 766 ETH, dont la majeure partie est encore visible sur la blockchain pour le moment.

Le DEX qui en a fait la garantie

Voici le plus choquant : la fausse chaîne ne s’est pas propagée d’elle-même. DYORSWAP, un DEX multichaîne, l’a initialement considérée comme le véritable réseau principal GIWA et a ajouté sa prise en charge, ce qui explique comment de nombreux utilisateurs ont fini par établir des ponts.

DYORSWAP a par la suite déclaré que la chaîne était frauduleuse et que l'identifiant correct de la chaîne l'avait fait paraître légitime lors de sa première vérification. L'entreprise a également affirmé que ses propres contrats intelligents n'avaient pas été compromis et qu'elle avait signalé des messages et des individus suspects au sein de la communauté concernée. Son avertissement aux utilisateurs était sans équivoque : n'utilisez aucun RPC, pont ou contrat GIWA non officiel.

Les utilisateurs ont été très critiques lors de la première publication de l'annonce. Nombreux sont ceux qui ont affirmé que l'approbation du DEX était précisément ce qui donnait au pont une apparence de sécurité.

Les informations concernant les remboursements ne sont pas encore totalement cohérentes. CryptoSlate indique que DYORSWAP versera 40% du montant transféré aux portefeuilles ayant envoyé moins de 5 ETH. Les demandes de remboursement plus importantes seront traitées séparément et nécessiteront des vérifications d'identité et d'adresse, car certains gros portefeuilles pourraient être liés à des tentatives d'hameçonnage ou à d'autres fraudes. Gokhshtein Media rapporte que DYORSWAP a déjà distribué plus de 200 ETH provenant de ses propres fonds. Quoi qu'il en soit, ce montant ne représente qu'une fraction des 766 ETH disparus.

Pourquoi GIWA était l'appât parfait

Ce choix n'était pas anodin. Dunamu et la Fondation Optimism ont annoncé en mai que GIWA serait la première blockchain OP Enterprise autogérée, Upbit assurant le contrôle opérationnel et Optimism fournissant l'infrastructure de secours. Dunamu exploite le réseau de test Sepolia depuis septembre 2025 et, en avril, s'est associé à Hana Financial et POSCO International pour tester un système de transfert de fonds transfrontalier sur la blockchain GIWA.

GIWA ne possède pas non plus de jeton natif distinct. L'ETH est l'actif de base. Par conséquent, « transférer de l'ETH vers la nouvelle chaîne Upbit » semble tout à fait normal, et rien dans la demande ne paraît suspect. Il n'y a pas de jeton à vérifier, ni de distribution gratuite à remettre en question.

Le quotidien économique coréen Seoul Economic Daily a insisté sur le fait qu'il ne s'agissait pas d'un piratage de GIWA elle-même. C'est vrai, et c'est aussi un peu secondaire pour les personnes qui ont perdu de l'argent.

Qu'est-ce qui est encore ouvert?

DYORSWAP indique retracer le déploiement du pont, le financement initial, les portefeuilles de test et les destinataires finaux. La plateforme conserve également les enregistrements RPC et les messages de la communauté. Les 589 ETH stockés dans quatre portefeuilles sont le montant à surveiller. S'ils sont transférés vers un service de mixage ou une plateforme d'échange, le risque de blocage diminue considérablement.

La leçon pour les utilisateurs est simple et regrettable : un identifiant de chaîne n’est qu’une étiquette. Si le réseau n’est pas répertorié dans la documentation officielle du projet, il n’existe pas encore, quel que soit le nombre de personnes qui y effectuent des transactions.