Une attaque récente dans le domaine DeFi a révélé des faiblesses dans le système de stockage de cryptomonnaies, en particulier le coffre ERC-4626. Le hacker a exploité un outil familier appelé flash loan (prêt éclair, emprunté et remboursé immédiatement) pour fausser le taux et tromper le système de tarification, également connu sous le nom d'oracle.
Le 27 février, un hacker a réalisé ce qu'on appelle une « attaque par don » en empruntant environ 4 millions de dollars depuis Aave – une plateforme de prêt en cryptomonnaie. L'objectif était le token wUSDM, appartenant au système de coffre ERC-4626 du Mountain Protocol. Il s'agit d'une cryptomonnaie générant des profits, liée à la stablecoin USDM – une cryptomonnaie ayant une valeur stable grâce à des obligations à court terme américaines. Le hacker a délibérément poussé le taux de wUSDM de 1,06 à 1,7, le faisant paraître plus précieux qu'il ne l'est réellement.
Ensuite, le hacker a utilisé deux comptes pour se « liquider » – c'est-à-dire faire semblant de vendre ses propres actifs – sur Venus Protocol, une autre plateforme de prêt. Bien que Venus ait rapidement verrouillé les transactions pour empêcher cela, le hacker a tout de même empoché environ 200 000 dollars de bénéfices. Pendant ce temps, Venus a subi des pertes de plus de 716 000 dollars, selon le rapport d'analyse de Chaos Labs, une entreprise spécialisée dans la gestion des risques.
Yoni Keselbrener, responsable du département DeFi chez Lightblocks Labs, a déclaré au journal The Block : « Les deux équipes ont réagi en temps utile en verrouillant le marché, en ajustant les règles de risque et en ramenant le taux à un niveau normal. » Keselbrener est contributeur à eOracle, un système fournissant des données réelles pour des applications décentralisées sur Ethereum.
Le coffre ERC-4626, lancé en mai 2022, est la norme pour créer des réserves de cryptomonnaies. Cependant, le rapport de Chaos Labs indique que cette norme « n'a pas de mesures de protection lorsque le taux change de manière anormale sur les plateformes de prêt. »
En janvier 2024, Euler Finance a publié une étude avertissant que la plupart des coffres ERC-4626 n'ont pas de mécanisme de sécurité pour empêcher la manipulation des taux. Ils estiment qu'il est nécessaire de combiner plusieurs mesures de protection pour être plus efficace.
Chaos Labs a également noté que l'attaque aurait pu être évitée si des mesures telles que : « Le contrat wUSDM devrait utiliser un système de vérification des taux provenant de plusieurs sources différentes. Ou si Venus avait été averti plus tôt, ils auraient pu limiter les augmentations de taux anormales. » Pour éviter que cela ne se reproduise, Aave prévoit de mettre en œuvre le mécanisme CAPO – un outil pour limiter les augmentations de prix artificielles – pour toutes les cryptomonnaies générant des bénéfices, empêchant ainsi les hackers de créer des profits fictifs.
Le compte X de Curve Finance a commenté : « Cette vulnérabilité ne se produit pas seulement avec les coffres conformes, mais avec tous les types de coffres. C'est une erreur courante sur les plateformes de prêt. »
Keselbrener a remarqué : « Le mécanisme CAPO est très efficace, mais nécessite une programmation complexe supplémentaire et doit être surveillé en continu. Nous devons nous assurer qu'il ne nuit pas aux profits légitimes tout en empêchant les hackers. » Il a ajouté : « À mesure que DeFi devient de plus en plus complexe, nous ne pouvons pas nous fier uniquement à des données de prix simples. Il est nécessaire de comprendre les risques de chaque type de cryptomonnaie. Un système de vérification des prix provenant de plusieurs sources n'est pas un inconvénient, mais une couche de protection importante. Les fournisseurs d'oracles spécialisés peuvent concevoir des mesures pour détecter et prévenir de telles attaques. »
Avertissement : Cet article a uniquement un but informatif, ce n'est pas un conseil d'investissement. Les investisseurs devraient faire des recherches approfondies avant de prendre une décision. Nous ne sommes pas responsables des décisions d'investissement que vous prenez.
