Mezo détaille l'exploit veBTC, le remboursement et l'offre de récupération

Mezo a publié le rapport technique de l'attaque du 5 octobre 2026, qui a déplacé 37 positions veBTC de 36 portefeuilles et transféré environ 5,52 BTC hors de la chaîne. Le projet affirme avoir corrigé la vulnérabilité, relancé la chaîne et le pont, et prévoit de rembourser chaque utilisateur avec des fonds détenus par le protocole.

L'incident dépasse le montant perdu: il montre comment deux modèles courants peuvent devenir dangereux lorsqu'ils sont combinés. veBTC permet de verrouiller des BTC et de recevoir un NFT représentant la position et son pouvoir de vote. Le contrat répartissait sa logique dans des bibliothèques externes et acceptait des métatransactions via un relais de confiance.

Pourquoi le contrôle de l'expéditeur a échoué

Le relais vérifiait une signature hors chaîne puis ajoutait l'adresse confirmée à la fin de calldata. Le contrat lisait les 20 derniers octets. Lors de l'appel d'une bibliothèque externe, le compilateur créait un nouveau tampon avec les seuls paramètres déclarés; l'adresse ajoutée ne suivait pas.

L'attaquant a façonné le champ de données du transfert pour que la bibliothèque interprète ses octets comme l'expéditeur. Il a ciblé des positions déverrouillées mais non rachetées, transféré les BTC vers Ethereum et obtenu 174,61 ETH. Le marché peut être suivi via le spot BTC sur OrangeX.com, mais l'accès au marché ne prouve pas la sécurité d'un contrat tiers.

Réponse, remboursement et conditions

L'attaque a eu lieu entre 18:54 et 19:06 UTC le 5 octobre. L'équipe a repéré l'anomalie le lendemain matin, déclaré l'incident à 09:04, suspendu les retraits du pont 13 minutes plus tard et arrêté la chaîne à 09:27. Après identification et correction, la chaîne et le pont ont repris à 15:00.

Mezo a désactivé les métatransactions, inutilisées en production, puis vérifié toutes les fonctions accessibles par le même chemin. Trois expositions plus limitées ont été couvertes par le correctif. Les utilisateurs doivent recevoir les BTC directement dans leur portefeuille existant, sans passer par un site de récupération.

L'attaquant peut rendre 4,415417121 BTC avant le 14 octobre à 23:59 UTC et conserver 1,103854280 BTC comme prime de 20%. Le résultat reste inconnu. Les développements sont suivis dans OrangeX.com Crypto News et OrangeX.com Academy explique les bases. OrangeX.com Proof of Reserves est un outil de transparence de plateforme, pas un audit de code tiers.

OrangeX.com Analysis

La leçon centrale est que des composants connus ne garantissent pas une composition sûre. Relais de signature, lecture de calldata et bibliothèques sont établis, mais leur frontière a produit une faille d'autorisation que deux audits et le programme de prime n'ont pas détectée.

La réaction a limité les pertes supplémentaires et promet un remboursement complet. Il faut néanmoins distinguer les faits confirmés—positions, montant, chronologie et correctif—des engagements futurs: paiements achevés, fonds récupérés et nouveaux systèmes de surveillance.