Un serveur à 3000 dollars, qui a failli faire vaciller 70 milliards d’actifs on-chain
Je viens juste de lire un article de CoinDesk, et j’ai eu un frisson dans le dos.
Les chercheurs de la société de sécurité Hexens ont, avec un serveur “standard” configuré à 3000 dollars, découvert une vulnérabilité fatale sur la blockchain Aptos. Le taux de réussite de l’attaque est proche de 90% : elle peut simuler environ 1/3 du réseau des validateurs. En théorie, elle pourrait menacer jusqu’à 7 milliards de dollars d’actifs on-chain.
Le problème vient d’un bogue de cache périmé de la machine virtuelle Move, qui peut provoquer une confusion de types. Ainsi, le code de l’attaquant peut directement s’écrire dans la zone de stockage d’autres contrats. Qu’est-ce que cela signifie ? Une fois qu’on compromet des stablecoins, des ponts inter-chaînes ou des protocoles DeFi, c’est toute la chaîne qui peut s’effondrer en cascade. Même Move, ce langage réputé pour la sécurité liée aux types, pourrait être contourné au niveau de l’implémentation de la VM.
Heureusement, cette fois il s’agissait d’une action de type “white hat”. Le 25 février, la vulnérabilité a été signalée via le programme de bug bounty, et le correctif a été déployé sur le réseau principal en quelques heures, sans provoquer de pertes réelles. Les responsables d’Aptos reconnaissent l’existence du problème, mais se montrent prudents quant au chiffre de 70 milliards d’actifs potentiellement impactés. Le CTO de Polygon, Mudit Gupta, a validé indépendamment l’efficacité du PoC, ce qui confirme indirectement la gravité de la vulnérabilité.
Cette affaire nous rappelle, à nous utilisateurs ordinaires, que :
1. Même pour une nouvelle génération de L1 réputée “sécurisée”, la sécurité fondamentale dépend des détails d’implémentation, pas uniquement de la conception du langage.
2. Répartir ses actifs sur différentes chaînes et différents protocoles reste, même si c’est la solution “la plus bête”, le moyen le plus efficace de réduire le risque systémique.
3. Surveillez si les projets ont un programme de bug bounty actif et quelle est leur vitesse de réponse : le fait qu’Aptos ait corrigé en quelques heures est un signal positif pour une gouvernance sécurité arrivée à maturité.
À l’heure actuelle, les sources publiques proviennent principalement de CoinDesk. Les annonces officielles de Hexens et d’Aptos n’ont pas encore été publiées : l’exhaustivité des informations reste à vérifier. Mais que le chiffre final soit bien de 70 milliards ou plutôt une version “revue à la baisse”, ce type de trajectoire d’attaque à faible coût et à haut potentiel de nuisance mérite d’alerter tout l’écosystème Move.
Avertissement : ceci ne constitue qu’une mise en forme d’informations et une relecture logique, et ne représente aucun conseil en investissement. Le marché comporte des risques : faites vos propres recherches.
$BTC $ETH $BNB #链上安全
Je viens juste de lire un article de CoinDesk, et j’ai eu un frisson dans le dos.
Les chercheurs de la société de sécurité Hexens ont, avec un serveur “standard” configuré à 3000 dollars, découvert une vulnérabilité fatale sur la blockchain Aptos. Le taux de réussite de l’attaque est proche de 90% : elle peut simuler environ 1/3 du réseau des validateurs. En théorie, elle pourrait menacer jusqu’à 7 milliards de dollars d’actifs on-chain.
Le problème vient d’un bogue de cache périmé de la machine virtuelle Move, qui peut provoquer une confusion de types. Ainsi, le code de l’attaquant peut directement s’écrire dans la zone de stockage d’autres contrats. Qu’est-ce que cela signifie ? Une fois qu’on compromet des stablecoins, des ponts inter-chaînes ou des protocoles DeFi, c’est toute la chaîne qui peut s’effondrer en cascade. Même Move, ce langage réputé pour la sécurité liée aux types, pourrait être contourné au niveau de l’implémentation de la VM.
Heureusement, cette fois il s’agissait d’une action de type “white hat”. Le 25 février, la vulnérabilité a été signalée via le programme de bug bounty, et le correctif a été déployé sur le réseau principal en quelques heures, sans provoquer de pertes réelles. Les responsables d’Aptos reconnaissent l’existence du problème, mais se montrent prudents quant au chiffre de 70 milliards d’actifs potentiellement impactés. Le CTO de Polygon, Mudit Gupta, a validé indépendamment l’efficacité du PoC, ce qui confirme indirectement la gravité de la vulnérabilité.
Cette affaire nous rappelle, à nous utilisateurs ordinaires, que :
1. Même pour une nouvelle génération de L1 réputée “sécurisée”, la sécurité fondamentale dépend des détails d’implémentation, pas uniquement de la conception du langage.
2. Répartir ses actifs sur différentes chaînes et différents protocoles reste, même si c’est la solution “la plus bête”, le moyen le plus efficace de réduire le risque systémique.
3. Surveillez si les projets ont un programme de bug bounty actif et quelle est leur vitesse de réponse : le fait qu’Aptos ait corrigé en quelques heures est un signal positif pour une gouvernance sécurité arrivée à maturité.
À l’heure actuelle, les sources publiques proviennent principalement de CoinDesk. Les annonces officielles de Hexens et d’Aptos n’ont pas encore été publiées : l’exhaustivité des informations reste à vérifier. Mais que le chiffre final soit bien de 70 milliards ou plutôt une version “revue à la baisse”, ce type de trajectoire d’attaque à faible coût et à haut potentiel de nuisance mérite d’alerter tout l’écosystème Move.
Avertissement : ceci ne constitue qu’une mise en forme d’informations et une relecture logique, et ne représente aucun conseil en investissement. Le marché comporte des risques : faites vos propres recherches.
$BTC $ETH $BNB #链上安全