Pourquoi les hackers s’en prennent-ils toujours à l’écosystème Ethereum ? L’ouverture de l’EVM est-elle un atout ou une faille de sécurité ?
Depuis des années, Ethereum et son vaste écosystème EVM figurent parmi les principales cibles des attaques de hackers dans le monde de la blockchain.
La raison n’est pas très complexe.
Premièrement, les actifs sur la blockchain sont très ouverts. L’ETH natif ne dispose d’aucun mécanisme centralisé permettant de geler un compte. Une fois une transaction effectuée, il est généralement impossible de l’annuler directement. Les fonds peuvent toujours être suivis, interceptés ou récupérés, mais les transactions sur la blockchain ne bénéficient pas du mécanisme d’annulation propre au système financier traditionnel.
Deuxièmement, les mécanismes d’autorisation présentent une surface d’attaque inhérente.
Des autorisations approve d’ERC-20 et des signatures d’autorisation à Permit2, en passant par la délégation du code de compte prévue par l’EIP-7702, une autorisation erronée ou une signature malveillante de la part d’un utilisateur peut ouvrir aux attaquants une voie d’accès au contrôle de ses actifs.
Troisièmement, l’écosystème EVM repose sur un système de contrats intelligents très complexe. La DeFi, les ponts inter-chaînes, les pools de liquidité et divers protocoles se combinent entre eux. Plus les sommes en jeu sont importantes, plus la surface d’attaque est complexe.
Plus inquiétant encore, l’EIP-7702 étend davantage les capacités d’exécution de code des comptes ordinaires. Si un utilisateur délègue son compte à du code malveillant, le risque peut même s’étendre à l’ensemble du compte.
Bien sûr, le problème ne vient pas de l’ETH lui-même, mais de la conception des autorisations dans la finance ouverte, de la sécurité des contrats et des habitudes des utilisateurs en matière d’autorisations.
La composabilité de l’EVM a rendu la DeFi possible, mais elle en fait aussi une vaste surface d’attaque que les hackers convoitent depuis longtemps.
C’est peut-être le prix à payer en matière de sécurité pour la finance décentralisée.$ETH
Depuis des années, Ethereum et son vaste écosystème EVM figurent parmi les principales cibles des attaques de hackers dans le monde de la blockchain.
La raison n’est pas très complexe.
Premièrement, les actifs sur la blockchain sont très ouverts. L’ETH natif ne dispose d’aucun mécanisme centralisé permettant de geler un compte. Une fois une transaction effectuée, il est généralement impossible de l’annuler directement. Les fonds peuvent toujours être suivis, interceptés ou récupérés, mais les transactions sur la blockchain ne bénéficient pas du mécanisme d’annulation propre au système financier traditionnel.
Deuxièmement, les mécanismes d’autorisation présentent une surface d’attaque inhérente.
Des autorisations approve d’ERC-20 et des signatures d’autorisation à Permit2, en passant par la délégation du code de compte prévue par l’EIP-7702, une autorisation erronée ou une signature malveillante de la part d’un utilisateur peut ouvrir aux attaquants une voie d’accès au contrôle de ses actifs.
Troisièmement, l’écosystème EVM repose sur un système de contrats intelligents très complexe. La DeFi, les ponts inter-chaînes, les pools de liquidité et divers protocoles se combinent entre eux. Plus les sommes en jeu sont importantes, plus la surface d’attaque est complexe.
Plus inquiétant encore, l’EIP-7702 étend davantage les capacités d’exécution de code des comptes ordinaires. Si un utilisateur délègue son compte à du code malveillant, le risque peut même s’étendre à l’ensemble du compte.
Bien sûr, le problème ne vient pas de l’ETH lui-même, mais de la conception des autorisations dans la finance ouverte, de la sécurité des contrats et des habitudes des utilisateurs en matière d’autorisations.
La composabilité de l’EVM a rendu la DeFi possible, mais elle en fait aussi une vaste surface d’attaque que les hackers convoitent depuis longtemps.
C’est peut-être le prix à payer en matière de sécurité pour la finance décentralisée.$ETH
