À la première lecture, cette nouvelle m’a un peu déconcerté. Web3Auth affirme avoir « devancé » le pirate et transféré 5,6 millions de dollars depuis un portefeuille Keplr déjà exposé. Mais le même communiqué mentionne aussi « original attacker », c’est-à-dire « attaquant initial ». Cela signifie probablement qu’une partie des fonds avait déjà été volée, même si les responsables n’ont pas donné beaucoup de détails. 🧐
Commençons par expliquer ce qu’est un « white hat », ou pirate éthique. Vous pouvez le voir comme un serrurier capable d’ouvrir une serrure, mais qui choisit d’appeler la police. Le problème, c’est que l’intervention d’un white hat avant le pirate et le pillage d’un portefeuille par un pirate ont exactement la même apparence sur la blockchain : dans les deux cas, les fonds sont transférés par une série de transactions. La différence repose presque entièrement sur les explications fournies après coup. Le véritable point à surveiller n’est donc pas le montant, mais l’identité de celui qui a agi en premier. Il est très difficile pour une personne extérieure de le déterminer directement à partir de la blockchain.
Pour les utilisateurs ordinaires, le véritable point de vigilance est en fait l’« exposition du portefeuille » elle-même. Keplr est l’un des portefeuilles les plus utilisés dans l’écosystème Cosmos. Vous pouvez voir la clé privée comme l’unique clé de votre maison ; une « autorisation », c’est comme si vous donniez à une application une clé de secours pour qu’elle puisse agir en votre nom. Si la clé principale ou la clé de secours est compromise, vos actifs — $ATOM, $OSMO, $TIA — sont tous exposés au même risque. En clair, c’est mettre tous ses œufs dans le même panier.
Au départ, je ne m’attendais pas à voir ce genre de récit de sauvetage « à moitié réussi » : les fonds n’ont été ni intégralement récupérés ni totalement perdus. La majeure partie a été transférée avant l’adversaire, tout en reconnaissant l’existence d’un « attaquant initial ». Ce flou n’aide pas la communauté : plus les informations tardent à être divulguées, plus il est difficile pour les utilisateurs de savoir s’ils doivent changer de portefeuille ou révoquer les « clés de secours » qu’ils ont accordées.
Concrètement, je vous conseille de ne pas attendre la conclusion officielle de l’enquête. Vérifiez les autorisations de votre portefeuille et transférez les positions que vous ne touchez pas depuis longtemps vers un portefeuille froid (vous pouvez le voir comme un coffre-fort qui n’est pas connecté à Internet). Évitez d’accumuler des actifs d’écosystèmes comme INJ et SEI dans un portefeuille chaud connecté en permanence. Ce sont des mesures que vous pouvez prendre dès maintenant.
Cette nouvelle vous inciterait-elle à changer de portefeuille ou à révoquer des autorisations ? Le contenu ci-dessus ne constitue pas un conseil en investissement.