Le 11 novembre, la blockchain publique Initia a reconnu avoir de nouveau été piratée. C’est la deuxième fois en trois semaines, et environ 3,27 millions de dollars ont été dérobés. Le pirate n’a pas touché au code on-chain : il s’est emparé d’une clé Google Cloud.
Le 9 novembre, un pirate a utilisé une injection de commandes pour obtenir une clé Google Cloud permettant à Initia d’ouvrir des nœuds privés. L’injection de commandes consiste à introduire subrepticement des instructions dans un système. En utilisant cette clé pour accéder aux variables d’environnement — l’endroit où le système stocke les identifiants et les mots de passe —, il a découvert d’autres identifiants, puis s’est frayé un chemin jusqu’aux comptes GitHub et cloud d’Initia, avant d’atteindre Anvil, qui héberge les rollups.
Après avoir pris le contrôle d’Anvil, le pirate a falsifié des retraits inter-chaînes de cinq rollups, libérant ainsi les actifs des comptes de garde. Initia indique qu’environ 2,16 millions de dollars sont toujours gelés sur le mainnet à l’arrêt. Le pirate a fait transiter les fonds par la propre plateforme d’échange d’Initia, puis a retiré 13 400 TIA, 8 000 USDC.inj et 597 000 Noble USDC. Le mainnet a été arrêté dans l’après-midi du 10 novembre, et aucune date de redémarrage n’a été fixée. Initia s’est contenté d’affirmer que les fonds seraient intégralement restitués.
La dernière fois, c’était le 23 octobre, et c’était aussi Initia : environ 2,7 millions de dollars avaient été perdus à cause d’une faille dans le cache des scripts de MoveVM. Deux fois en trois semaines : la première fois, une faille dans le code ; la deuxième, une faille dans les clés. Le code a été corrigé, mais les clés ont été perdues.
La leçon à retenir pour les petits investisseurs tient en une phrase : quand un projet affirme que son code a été audité, cela prouve seulement que le code a passé cet examen. Les clés du cloud, les variables d’environnement, les plateformes de garde et les comptes de garde inter-chaînes ne figurent pas dans le rapport d’audit. Les pirates s’attaquent justement à ce qui n’y figure pas.
Alors, pour savoir si un projet est sûr, ne vous contentez pas de compter ses rapports d’audit : la manière dont il gère les incidents est encore plus importante. Cette fois, Initia a arrêté la chaîne assez vite, et les fonds gelés n’ont pas pu sortir. Mais la restitution intégrale n’est pour l’instant qu’une promesse : ce n’est que lorsque l’argent sera arrivé qu’on pourra en être sûr. Si vos actifs sont déposés sur un compte de garde d’une petite chaîne et qu’ils deviennent inaccessibles dès que celle-ci s’arrête, c’est un risque qu’il faut vraiment prendre en compte.
Selon Xiaokai, la sécurité on-chain se concentre sur le code, mais les pertes d’argent surviennent de plus en plus souvent en dehors du code. Les clés et les opérations sont désormais le maillon le plus faible.
Vous arrive-t-il de déposer vos actifs sur un compte de garde d’une petite chaîne ou d’un nouveau rollup ?
#Initia #黑客攻击 #云安全 #SécuritéDuPortefeuille
— Xiaokai, le petit investisseur de web3
Ce contenu exprime uniquement un point de vue personnel et ne constitue pas un conseil en investissement. Faites vos propres recherches.