Le 1er novembre, vers 11 h 15, heure de Pékin, les garanties de six coffres du protocole d’options Premia sur Arbitrum ont été retirées au cours de deux transactions espacées d’une seconde. Pendant l’attaque, Blockaid a estimé le montant à environ 400 500 dollars ; The Defiant l’a évalué à environ 437 000 dollars, d’après les sorties nettes on-chain ; et PeckShield a annoncé environ 464 600 dollars. Les chiffres des trois sources diffèrent uniquement en raison du moment de l’évaluation ; la nature des actifs perdus ne fait pas débat.
Les coffres de Premia servent de contrepartie pour les options. Les déposants y placent leurs cryptomonnaies, les acheteurs paient des primes et le coffre assume l’obligation de règlement à l’échéance. Les six coffres concernés couvraient des options d’achat et de vente sur WBTC, WETH et ARB. Les sorties nettes on-chain s’élèvent à 3,644 WBTC, 43,47 WETH, 48 479 USDC.e et 46 215 ARB.
Les étapes de l’attaque n’étaient pas compliquées. L’attaquant a d’abord créé six marchés d’options vides, qui ne contenaient rien. Il a ensuite emprunté des fonds de roulement au moyen d’un prêt flash, puis les a utilisés pour acheter des options. Le coffre a accepté les ordres conformément à son code, et les garanties ont été verrouillées dans ces nouveaux marchés. Enfin, l’attaquant a retiré les garanties verrouillées en se faisant passer pour un fournisseur de liquidités, puis a remboursé le prêt flash au cours de la même transaction. Les bénéfices provenaient des garanties des déposants. L’opération n’a impliqué ni vol de clés privées, ni manipulation du prix de l’oracle : le coffre n’a exécuté que des opérations autorisées par son code.
Après le retrait des fonds, PeckShield a suivi leur parcours : ils ont été transférés d’Arbitrum vers Ethereum, puis convertis en bitcoins via Chainflip et NEAR Intents. J’ai cherché partout, mais je n’ai pas trouvé de rapport complet publié par l’équipe du projet après l’incident. Rien n’a encore été annoncé concernant la suspension, les correctifs ou les indemnisations. En attendant une déclaration de l’équipe, les personnes qui ont déposé des fonds dans ses coffres ne peuvent que vérifier sur les canaux officiels si leur coffre figure parmi les six concernés. Pour le montant et la destination des fonds, les informations disponibles reposent pour l’instant sur le suivi de la société de sécurité.
Le message destiné aux petits investisseurs est simple. L’argent placé dans ce type de coffre sert de garantie pour couvrir les positions d’autres personnes, dans un contrat où n’importe qui peut créer un marché et l’utiliser. La réputation des auditeurs et les chiffres du pool ne peuvent pas empêcher une faille : le coffre doit accepter les ordres provenant de marchés inconnus. Avant d’y déposer des fonds, trois points méritent d’être vérifiés : le coffre accepte-t-il les marchés créés par des inconnus ? Existe-t-il un mécanisme de suspension en cas de problème ? Les rendements proviennent-ils des primes ou du capital des nouveaux arrivants ? Ne vous dites pas que cela ne vous concerne pas parce que l’incident n’a coûté que plus de 400 000 dollars cette fois-ci : le mécanisme ne fait pas de distinction selon la taille du pool.
Mon avis est très clair : je ne toucherais pas à ce type de coffre, à moins que l’équipe du projet précise clairement si des marchés inconnus peuvent faire appel au coffre, et modifie le mécanisme en conséquence. Avez-vous déjà déposé des fonds dans ce type de coffre qui rapporte des primes ? Avant de le faire, vérifiez-vous qui est autorisé à faire appel au contrat ?
— Petit Kai, le poireau du Web3
Cet article exprime uniquement une opinion personnelle et ne constitue aucun conseil en investissement. Les données proviennent des suivis publics on-chain de Blockaid, PeckShield et The Defiant. Les montants peuvent varier selon le moment où ils ont été évalués. Veuillez évaluer les risques par vous-même.