Le piratage colossal de 1,5 milliard de dollars de Bybt la semaine dernière a déclenché des discussions féroces à travers la communauté cryptographique, avec certaines voix de l'industrie soutenant que la conception d'Ethereum aurait pu jouer un rôle. Le vol d'environ 401 000 éther (ETH) – orchestré par le groupe nord-coréen Lazare – a soulevé des questions sur la question de savoir si la complexité d'Ethereum rend son écosystème de manière unique vulnérable aux exploits sophistiqués, ou si le blâme repose ailleurs.
Le hack aurait eu lieu lors d'un transfert standard du portefeuille froid de Bybit à un portefeuille chaud. Selon la déclaration officielle de l'échange sur X, la transaction « a été manipulée par une attaque sophistiquée qui a masqué l'interface de signature », qui affichait l'adresse correcte mais a modifié la logique contractuelle intelligente sous-jacente. Cette manipulation a permis aux attaquants de tirer le contrôle du portefeuille froid et de déplacer les fonds dans une adresse privée.
Certains dans l'espace crypto ont proposé de faire reculer la blockchain pour récupérer les fonds volés, établissant des parallèles avec le Rollback Dao Hack 2016. Les partisans soutiennent que cela pourrait rétablir la confiance et dissuader les futures attaques à grande échelle. Cependant, le développeur principal Tim Beiko a rapidement rejeté des idées telles que «techniquement insoluble», avertissant que la falsification du grand livre pourrait saper la principale promesse d'immuabilité de la blockchain.
Ethereum est-il à blâmer?
Parmi les préoccupations exprimées concernant le rôle d'Ethereum dans l'exploit, Alexander Leishman, fondateur de River Financial et ancien assistant pédagogique de la classe de crypto-monnaie CS251 de Stanford. Il a suggéré que la vaste «surface d'attaque» vaste d'Ethereum aurait pu faciliter les efforts des attaquants.
Leishman a noté via X: «La surface d'attaque de l'ETH est massive. Des trucs effrayants. J'adorerais voir quelqu'un décomposer exactement ce qui s'est passé ici […] Le piratage de Bybit me rappelle quand j'étais TA pour la classe de crypto-monnaie (CS251) à Stanford. L'examen final avait une question demandant aux étudiants de trouver 8 bugs délibérément placés dans un contrat d'ETH. Les étudiants ont trouvé 15. »
Il a également fait des comparaisons avec le modèle UTXO plus simple de Bitcoin, expliquant que lors de la signature d'une transaction Bitcoin, on vérifie simplement la transition d'état, qui est généralement claire sur un écran de portefeuille matériel. En revanche, les signatures ETH peuvent inclure non seulement des transferts de financement, mais également des commandes d'invoquer une logique complexe de contrats intelligents.
Il a déclaré: «Cela a absolument quelque chose à voir avec Ethereum […] Dans Ethereum, vous vous déconnectez sur le mouvement des fonds et une commande pour envoyer un contrat intelligent (ce qui pourrait conduire à un mouvement de fonds supplémentaire) – une UX très sujette aux erreurs. Les transactions ETH ne représentent pas la transition d'état, ils représentent la commande déclenchant la transition de l'état. »
Tout le monde ne convient pas que la conception inhérente d'Ethereum mérite un examen minutieux. Toghrul Maharramov, un chercheur de Fluent, a insisté sur le fait que l'exploit « n'a rien à voir avec Ethereum ou EVM », suggérant qu'il s'agissait purement d'un piratage d'agnostique et que se concentrer sur la blockchain lui-même distrait des lacunes de sécurité plus pertinentes.
Pendant ce temps, Anthony Sassano, un éducateur d'ETH indépendant et fondateur du Daily GWEI, a été plus pointé dans sa réfutation, suggérant que le piratage de relevé « n'avait rien à voir avec un bug dans un contrat intelligent Ethereum ». Il a rejeté toute corrélation entre l'architecture d'Ethereum et la violation de l'échange, reflétant un sentiment plus large que les véritables faiblesses résidaient dans les pratiques opérationnelles de la sécurité et de la gestion des portefeuilles de Bybit.
Leishman a précisé plus tard qu'il n'avait jamais affirmé que le piratage de Bybit provenait d'un bogue direct dans le code Ethereum lui-même. «Wow, les podcasteurs ETH sont sensibles. Nulle part je n'ai dit que le piratage de Bybit n'était le résultat d'un bogue de contrat intelligent. Je partageais une anecdote divertissante sur la façon dont la complexité d'Ethereum mène à des problèmes de sécurité difficiles », a-t-il écrit.
Au lieu de cela, son argument principal tourne autour de la difficulté de vérifier l'impact ultime d'une transaction lorsque des contrats intelligents Ethereum sont impliqués. Le piratage de Bybit était le résultat du modèle de contrat «intelligent» d'Ethereum, ce qui rend très difficile la vérification de la transition de l'État, les transactions signées du contrat multisig allaient déclencher. C'est beaucoup plus sûr lorsque la transaction est la transition de l'État », a conclu Leishman.
Au moment de la presse, ETH s'est échangé à 2 705 $.
Image en vedette créée avec Dall.E, graphique de TradingView.com