Le 13 novembre, SlowMist a publié une alerte de sécurité : le contrat de règlement sur Ethereum d’un projet appelé Pennysia a été exploité. Une vulnérabilité permettant des appels externes arbitraires dans le code du contrat a permis aux attaquants de contourner la procédure normale et de transférer directement les jetons que les utilisateurs avaient précédemment autorisés au contrat, mais qui n’avaient pas encore été utilisés.
SlowMist a commencé son enquête après avoir reçu plusieurs signalements d’utilisateurs ayant perdu des fonds. Le montant total des pertes n’a pas encore été établi et Pennysia n’a pas proposé de dédommagement. Cet article n’est donc pas une analyse rétrospective, mais un avertissement : il concerne l’autorisation qui est toujours active dans votre portefeuille.
Voici comment beaucoup de gens se font avoir. Vous avez peut-être autorisé un projet par le passé. Au moment de valider, le montant était illimité par défaut. Pour gagner du temps, vous avez tout autorisé d’un coup, puis vous avez cessé d’utiliser le projet sans vous préoccuper de cette autorisation. Les fonds n’étaient depuis longtemps plus dans ce projet, et vous pensiez que l’affaire était close. Mais l’autorisation était toujours active. Dès que le contrat est compromis, l’attaquant peut exploiter cette ancienne autorisation pour transférer les jetons du même type présents dans votre portefeuille. Pire encore : même si vous n’avez pas de tels jetons dans votre portefeuille aujourd’hui, il pourra les transférer le jour où vous en recevrez. L’ancienne autorisation sera toujours là.
SlowMist recommande explicitement à toutes les personnes ayant autorisé ce contrat de règlement de révoquer immédiatement cette autorisation. Les outils sont facilement accessibles : Revoke.cash ou Etherscan permettent de vérifier et de révoquer les autorisations.
Voici trois choses que vous pouvez faire dès ce soir. Premièrement, ouvrez Revoke.cash, connectez votre portefeuille et révoquez l’autorisation du contrat de règlement de Pennysia. Même si vous n’avez jamais utilisé Pennysia, profitez-en pour vérifier si des contrats que vous ne reconnaissez pas disposent encore d’une autorisation illimitée. Deuxièmement, à l’avenir, ne choisissez pas la facilité lorsque vous autorisez un contrat : définissez une limite si possible, puis révoquez l’autorisation une fois que vous avez terminé. Ne la laissez pas active toute la nuit. Troisièmement, avant de cliquer sur une page qui vous demande une autorisation, vérifiez bien à qui vous l’accordez et pour quel montant. Si le nom de domaine ne correspond pas ou si la page vous semble suspecte, fermez-la immédiatement.
Une autorisation, ça ne prend qu’une seconde à accorder, mais elle reste dans votre portefeuille indéfiniment. Aujourd’hui, ce ne sont pas les fonds que quelqu’un vient de dérober, mais d’anciennes autorisations que tout le monde avait oubliées depuis longtemps.
Quand avez-vous vérifié pour la dernière fois les autorisations de votre portefeuille ?
— Xiao Kai, petit investisseur Web3
Ce contenu reflète uniquement une opinion personnelle et ne constitue pas un conseil en investissement. Faites vos propres recherches.