Les pirates n’ont pas forcément besoin de pirater un smart contract : il leur suffit de prendre le contrôle des droits de gouvernance pour potentiellement contrôler les fonds de tout un projet !
Le dernier incident de sécurité touchant X100 en est un exemple.
Selon l’analyse préliminaire publiée le 24 octobre par Blockaid, une société spécialisée dans la sécurité blockchain, le mécanisme de gouvernance de X100 aurait été ciblé par une attaque, impliquant environ 4,85 millions de dollars d’actifs.
L’incident est lié à la structure de gouvernance de X100, appelée « Sénat ».
Ce mécanisme compte trois sièges et devait initialement gérer les droits liés au projet par un système de décision à la majorité.
Mais les assaillants auraient pris le contrôle de deux sièges, obtenant ainsi le pouvoir nécessaire pour faire adopter des décisions de gouvernance.
Ils auraient ensuite utilisé ces droits pour intervenir sur les jetons de la trésorerie du projet et sur la liquidité, entraînant le transfert d’actifs.
Blockaid a par la suite repéré une troisième transaction liée à l’incident.
Trois aspects de cet incident méritent d’être soulignés :
1. Le point d’entrée de l’attaque pourrait ne pas être le code du smart contract, mais le contrôle de la gouvernance.
2. Dans une structure de gouvernance à trois sièges, la prise de contrôle de deux sièges peut suffire à neutraliser les contre-pouvoirs initialement prévus.
3. Même si une transaction respecte les règles d’autorisation définies dans le contrat, cela ne signifie pas qu’elle a été légitimement autorisée.
Cet incident rappelle également aux projets DeFi que, outre l’audit des smart contracts, la gestion des droits de gouvernance, la sécurité des signataires et la gestion de la trésorerie sont tout aussi importantes.
Le montant d’environ 4,85 millions de dollars correspond à une estimation préliminaire des actifs concernés. Le montant réel des pertes et les détails complets de l’attaque restent à confirmer.
Le dernier incident de sécurité touchant X100 en est un exemple.
Selon l’analyse préliminaire publiée le 24 octobre par Blockaid, une société spécialisée dans la sécurité blockchain, le mécanisme de gouvernance de X100 aurait été ciblé par une attaque, impliquant environ 4,85 millions de dollars d’actifs.
L’incident est lié à la structure de gouvernance de X100, appelée « Sénat ».
Ce mécanisme compte trois sièges et devait initialement gérer les droits liés au projet par un système de décision à la majorité.
Mais les assaillants auraient pris le contrôle de deux sièges, obtenant ainsi le pouvoir nécessaire pour faire adopter des décisions de gouvernance.
Ils auraient ensuite utilisé ces droits pour intervenir sur les jetons de la trésorerie du projet et sur la liquidité, entraînant le transfert d’actifs.
Blockaid a par la suite repéré une troisième transaction liée à l’incident.
Trois aspects de cet incident méritent d’être soulignés :
1. Le point d’entrée de l’attaque pourrait ne pas être le code du smart contract, mais le contrôle de la gouvernance.
2. Dans une structure de gouvernance à trois sièges, la prise de contrôle de deux sièges peut suffire à neutraliser les contre-pouvoirs initialement prévus.
3. Même si une transaction respecte les règles d’autorisation définies dans le contrat, cela ne signifie pas qu’elle a été légitimement autorisée.
Cet incident rappelle également aux projets DeFi que, outre l’audit des smart contracts, la gestion des droits de gouvernance, la sécurité des signataires et la gestion de la trésorerie sont tout aussi importantes.
Le montant d’environ 4,85 millions de dollars correspond à une estimation préliminaire des actifs concernés. Le montant réel des pertes et les détails complets de l’attaque restent à confirmer.
