Bug comptable, pas clé volée — et c’est justement ce qui rend cette affaire Arcus intéressante.
Les faits : Arcus, un DEX développé par l’équipe derrière dYdX, a révélé le 10 nov. que, le 9 nov. vers 22 h 07, heure de New York, un nouveau compte avait exploité une faille dans la gestion des transferts entre sous-comptes de la plateforme. Ce compte a affiché un solde bien supérieur à celui qu’il détenait réellement, puis retiré 2.234.391 USDG avant que les retraits ne soient interrompus. Environ 3 millions de dollars d’autres demandes de retrait ont été bloqués par la limite de débit du bridge. La faille a été corrigée en moins d’une heure, et Arcus a comblé l’intégralité du déficit avec les fonds de l’entreprise — les fonds des utilisateurs n’ont pas été touchés. L’adresse initiale de l’attaquant a été rendue publique afin que les plateformes puissent la signaler. (Rapport officiel d’incident d’Arcus, 10 nov. ; The Block, 11 nov.)
Mon avis : le montant est faible par rapport aux grands piratages de cette année, mais c’est le type de faille qui compte : il ne s’agissait pas d’une clé privée divulguée, mais d’une erreur de calcul dans la comptabilité interne. Deux éléments ont permis de limiter les dégâts : la limite de débit du bridge, qui a bloqué 3 millions de dollars, et les fonds de l’entreprise, qui ont comblé le déficit sans faire supporter les pertes aux utilisateurs. Dans un marché qui reste prudent, cela rappelle que le plus grand risque ne vient parfois pas du marché, mais des hypothèses intégrées au code.
Ce que je surveille : si les fonds volés peuvent être suivis à partir de l’adresse publiée, et si d’autres DEX vont réauditer la logique de leurs sous-comptes.
À votre avis, quelle protection est la plus importante sur un DEX : l’audit du code ou une limite de retrait comme celle-ci ?
Voici mon analyse, pas un conseil financier — faites toujours vos propres recherches.
#KeamananCrypto #DeFi
Les faits : Arcus, un DEX développé par l’équipe derrière dYdX, a révélé le 10 nov. que, le 9 nov. vers 22 h 07, heure de New York, un nouveau compte avait exploité une faille dans la gestion des transferts entre sous-comptes de la plateforme. Ce compte a affiché un solde bien supérieur à celui qu’il détenait réellement, puis retiré 2.234.391 USDG avant que les retraits ne soient interrompus. Environ 3 millions de dollars d’autres demandes de retrait ont été bloqués par la limite de débit du bridge. La faille a été corrigée en moins d’une heure, et Arcus a comblé l’intégralité du déficit avec les fonds de l’entreprise — les fonds des utilisateurs n’ont pas été touchés. L’adresse initiale de l’attaquant a été rendue publique afin que les plateformes puissent la signaler. (Rapport officiel d’incident d’Arcus, 10 nov. ; The Block, 11 nov.)
Mon avis : le montant est faible par rapport aux grands piratages de cette année, mais c’est le type de faille qui compte : il ne s’agissait pas d’une clé privée divulguée, mais d’une erreur de calcul dans la comptabilité interne. Deux éléments ont permis de limiter les dégâts : la limite de débit du bridge, qui a bloqué 3 millions de dollars, et les fonds de l’entreprise, qui ont comblé le déficit sans faire supporter les pertes aux utilisateurs. Dans un marché qui reste prudent, cela rappelle que le plus grand risque ne vient parfois pas du marché, mais des hypothèses intégrées au code.
Ce que je surveille : si les fonds volés peuvent être suivis à partir de l’adresse publiée, et si d’autres DEX vont réauditer la logique de leurs sous-comptes.
À votre avis, quelle protection est la plus importante sur un DEX : l’audit du code ou une limite de retrait comme celle-ci ?
Voici mon analyse, pas un conseil financier — faites toujours vos propres recherches.
#KeamananCrypto #DeFi