Zetachain suspend le Mainnet après qu'un exploit du contrat GatewayZEVM cible les portefeuilles du protocole

Points clés :

• Zetachain a suspendu les transactions cross-chain mardi après qu'un exploit ciblant la fonction call du contrat GatewayZEVM a touché les portefeuilles internes de l'équipe.
• Slowmist a identifié la cause principale comme étant l'absence de contrôle d'accès et de validation des entrées dans la fonction call, permettant à n'importe quel utilisateur de déclencher des appels cross-chain malveillants sans autorisation.
• Cet incident marque le deuxième exploit cross-chain majeur d'avril 2026, après le hack de KelpDAO qui a déclenché la pire crise de liquidité DeFi depuis 2024.

Analyse préliminaire de Slowmist

L'équipe a identifié la fonction call du contrat GatewayZEVM comme étant le point d'entrée. La fonction ne contenait aucun contrôle d'accès ni validation des entrées, une combinaison qui permettait à toute adresse externe, sans autorisation, de déclencher des appels cross-chain malveillants et de les diriger vers des cibles arbitraires. Wu Blockchain a indépendamment confirmé la cause principale peu après.

Zetachain a indiqué que l'exploit avait affecté ses propres portefeuilles internes d'équipe (estimés à 300 000 $), précisant que les fonds des utilisateurs n'avaient pas été directement impactés. Le protocole a suspendu les transactions cross-chain pendant que son équipe de sécurité évaluait la pleine étendue de la brèche. Un post-mortem est attendu une fois l'enquête terminée.

De plus, cet incident survient à un moment difficile pour l'infrastructure cross-chain, car plus tôt ce mois-ci, l'exploit de KelpDAO a déclenché une cascade de retraits de liquidités dans les protocoles de finance décentralisée (DeFi), entraînant la pire crise de liquidité DeFi depuis 2024. Le Conseil de sécurité d'Arbitrum a toutefois pris des mesures d'urgence pour geler 30 766 ETH liés à l'exploiteur de KelpDAO.

Le contrôle d'accès était le problème central

Les conclusions de Slowmist ont une nouvelle fois mis en évidence un schéma récurrent dans les exploits de smart contracts, où des contrôles d'accès manquants ou insuffisants sont appliqués sur des fonctions gérant des opérations sensibles. Dans le cas de Zetachain, la fonction call dans GatewayZEVM pouvait être invoquée par n'importe quelle adresse externe sans vérification des permissions, laissant la porte ouverte au traitement d'entrées arbitraires comme des instructions cross-chain légitimes.

L'absence de mécanisme de validation des entrées a aggravé le risque car, sans vérification des données reçues par la fonction, les attaquants peuvent concevoir un payload malveillant et le diriger vers des destinations non prévues à travers les chaînes (contournant ainsi les limites de confiance supposées dans la logique du contrat).

Les chercheurs en sécurité ont régulièrement signalé les contrôles d'accès insuffisants comme l'une des vulnérabilités les plus courantes et évitables dans les smart contracts en production. La question de savoir si le contrat GatewayZEVM de Zetachain avait fait l'objet d'un audit de smart contract formel par un tiers avant son déploiement n'a pas été confirmée.