$POL Nimiq exploité sur Polygon : perte de 504 000 $ liée à une faille de vérification des signatures
Le contrat d’échange de Nimiq sur Polygon a été exploité le 16 septembre, avec des pertes d’environ 504 000 $. Il ne s’agissait pas d’un piratage sophistiqué : c’était une erreur de base, mais coûteuse.
Comment cela s’est produit :
L’attaquant a exploité une faille dans la fonction execute() du contrat, qui ne vérifiait pas les signatures des utilisateurs. Il a usurpé une requête open() depuis le portefeuille de liquidité, a ouvert plusieurs HTLC (Hashed Time-Locked Contracts) et a vidé tous les USDC, USDT0 et USDC.e. Les fonds ont ensuite été consolidés en USDC.
Réponse de Nimiq :
Mise en pause de toutes les transactions de stablecoins payées en gaz dans Nimiq Pay et Nimiq Wallet
Enquête sur un problème de sécurité lié à OpenGSN
Le point clé ici : la vulnérabilité ne se trouvait pas dans Nimiq Chain ou Nimiq Pay, mais dans une couche d’intégration tierce : OpenGSN.
OpenGSN (Gas Station Network) permet aux utilisateurs de payer les frais de transaction (gas) avec des jetons alternatifs plutôt que le jeton natif du réseau. C’est un utilitaire courant, mais aussi une nouvelle surface d’attaque.
Le problème central : si execute() ne vérifie pas les signatures utilisateur avant l’exécution, n’importe qui peut usurper des requêtes. C’est une faille élémentaire, mais en DeFi, les failles de base entraînent souvent de gros dégâts.
Comparé à des piratages plus importants, 504 K$ n’est pas énorme. Mais c’est un rappel : tous les exploits ne nécessitent pas une technique avancée. Parfois, un seul contrôle manquant suffit.
Leçon pour les projets : lors de l’intégration de toute couche tierce, surtout autour des signatures et de l’authentification, auditez soigneusement la logique de vérification. Et prévoyez toujours une solution de repli pour mettre le système en pause en cas de problème.
Selon vous, les projets devraient-ils limiter la dépendance aux couches d’intégration tierces afin de réduire la surface d’attaque ?
Les informations sont fournies à titre de référence, et ne constituent pas un conseil en investissement. Veuillez lire attentivement avant de prendre une décision.
Le contrat d’échange de Nimiq sur Polygon a été exploité le 16 septembre, avec des pertes d’environ 504 000 $. Il ne s’agissait pas d’un piratage sophistiqué : c’était une erreur de base, mais coûteuse.
Comment cela s’est produit :
L’attaquant a exploité une faille dans la fonction execute() du contrat, qui ne vérifiait pas les signatures des utilisateurs. Il a usurpé une requête open() depuis le portefeuille de liquidité, a ouvert plusieurs HTLC (Hashed Time-Locked Contracts) et a vidé tous les USDC, USDT0 et USDC.e. Les fonds ont ensuite été consolidés en USDC.
Réponse de Nimiq :
Mise en pause de toutes les transactions de stablecoins payées en gaz dans Nimiq Pay et Nimiq Wallet
Enquête sur un problème de sécurité lié à OpenGSN
Le point clé ici : la vulnérabilité ne se trouvait pas dans Nimiq Chain ou Nimiq Pay, mais dans une couche d’intégration tierce : OpenGSN.
OpenGSN (Gas Station Network) permet aux utilisateurs de payer les frais de transaction (gas) avec des jetons alternatifs plutôt que le jeton natif du réseau. C’est un utilitaire courant, mais aussi une nouvelle surface d’attaque.
Le problème central : si execute() ne vérifie pas les signatures utilisateur avant l’exécution, n’importe qui peut usurper des requêtes. C’est une faille élémentaire, mais en DeFi, les failles de base entraînent souvent de gros dégâts.
Comparé à des piratages plus importants, 504 K$ n’est pas énorme. Mais c’est un rappel : tous les exploits ne nécessitent pas une technique avancée. Parfois, un seul contrôle manquant suffit.
Leçon pour les projets : lors de l’intégration de toute couche tierce, surtout autour des signatures et de l’authentification, auditez soigneusement la logique de vérification. Et prévoyez toujours une solution de repli pour mettre le système en pause en cas de problème.
Selon vous, les projets devraient-ils limiter la dépendance aux couches d’intégration tierces afin de réduire la surface d’attaque ?
Les informations sont fournies à titre de référence, et ne constituent pas un conseil en investissement. Veuillez lire attentivement avant de prendre une décision.
