Injective, une blockchain de couche 1 conçue pour la finance décentralisée (DeFi), a été contrainte de suspendre les opérations du réseau pendant environ quatre heures à la suite d’une exploitation visant son protocole d’options binaires. L’incident a entraîné des pertes estimées à 4,9 millions de dollars.
D’abord dévoilée sur X par l’utilisateur Paddy-earthling, la faille de sécurité a mis en évidence des lacunes critiques dans la gestion des oracles, les mécanismes de repli et la gouvernance du protocole après incident.
Mécanismes de l’attaque : oracles fantômes et cas limites
L’exploitation s’appuyait sur un flux d’oracle désactivé mais toujours enregistré, plutôt que sur une faille de cryptographie ou sur des mécanismes de consensus de base.
Exploitation d’un oracle zombie :
L’attaquant a identifié sur Injective un oracle de prix obsolète nommé Frontrunner. Bien que les sources de données sous-jacentes de l’oracle aient depuis longtemps été supprimées, le flux restait enregistré dans le registre de la chaîne.
Création de masse marché :
En exploitant la création de marchés sans permission du protocole, l’attaquant a créé 299 marchés d’options binaires mappés spécifiquement à ce flux d’oracle mort.
Déclenchement du mécanisme de remboursement :
Comme l’oracle Frontrunner ne pouvait plus récupérer de données en direct, le protocole d’options binaires n’a pas pu déterminer les prix de règlement. Cela a déclenché le mécanisme de secours intégré de « remboursement sans prix ».
Multiplication des gains :
Une faille logique dans la routine de remboursement a permis à l’attaquant d’exploiter les transitions d’état pendant le règlement. Au lieu de recevoir un retour standard de 1:1 sur le capital verrouillé, l’attaquant a extrait environ 2x le paiement attendu sur l’ensemble des 299 marchés synthétiques.
Mouvement des fonds et empreinte on-chain
Après l’exploit, l’attaquant a converti les réserves de USDC siphonnées en environ 1 980 ETH (d’une valeur d’environ 4,9 millions de dollars).
Adresse de destination :
Les fonds bridgés ont été transférés vers un portefeuille Ethereum qui, à ce jour, reste complètement inactif.
Statut actuel :
Aucune transaction sortante, routage via tumbler ni service de mélange (comme Tornado Cash) n’a été initié depuis l’adresse du destinataire. L’attaquant évaluerait actuellement des communications de règlement en white-hat.
Préoccupations liées à la réponse du protocole et à la transparence
Bien que la cause technique de la compromission ait été rapidement corrigée, la manière dont l’équipe a géré l’incident a suscité l’examen critique des chercheurs en sécurité et des membres de la communauté.
Silence de la communication vs. inactivité opérationnelle :
Pendant l’arrêt du réseau d’environ 4 heures, les canaux sociaux officiels d’Injective ont continué à publier du contenu promotionnel et marketing programmé sans aborder publiquement l’interruption.
Contraintes de visibilité du code :
Paddy-earthling a noté que, bien que le code de la chaîne principale d’Injective ait auparavant été défini comme privé, la vulnérabilité a été découverte en analysant le SDK publiquement accessible. Les critiques soutiennent que le fait de garder les contrats principaux privés décourage les chercheurs en sécurité indépendants et les chasseurs de bugs white-hat, tout en échouant à empêcher des attaquants sophistiqués d’identifier des failles de surface dans le SDK.
Gouvernance contournée :
Bien que le déficit de liquidité au niveau du protocole ait été rapidement couvert, le correctif et le hot-patch ont été exécutés directement par les contributeurs principaux sans vote de gouvernance on-chain ni post-mortem public formel au moment de la restauration du réseau. #Injective🔥 #injective #CryptoSecurity #CryptoNewss #BinanceSquare
quatre points clés sur l’exploit d’options binaires d’Injective :
Risque de registre zombie : Une source de données désactivée n’est pas un oracle mis hors service. Si un flux reste enregistré sur la chaîne, les outils de création de marchés sans permission le traiteront comme une infrastructure valide, ce qui rend le nettoyage du registre tout aussi critique que la maintenance du code actif.
Risque asymétrique dans les mécanismes de sécurité : Les routines de repli comme les « remboursements sans prix » sont conçues pour protéger le capital, mais des défauts logiques dans leur exécution peuvent transformer les filets de sécurité en mécanismes d’exploitation. Une erreur de protocole devrait par défaut préserver le capital, jamais doubler les paiements.
Les limites des dépôts fermés : Masquer le code de la chaîne principale n’offre qu’une défense minimale lorsque les SDK accessibles au public décrivent encore les cas limites systémiques. L’obscurité restreint les chercheurs en sécurité indépendants tout en faisant peu pour arrêter des attaquants déterminés.
Alignement de la communication vs. réalité de crise : Interrompre une blockchain pendant quatre heures tout en maintenant des publications promotionnelles normales sur les réseaux sociaux crée un grave fossé de transparence. Lors d’événements de sécurité Web3, le silence opérationnel nuit davantage à la crédibilité du protocole que la perte réelle de capital.