Une mauvaise conception du seuil ou des conditions peut donner à un attaquant un contrôle total sur les fonds.
Dans les environnements DeFi, une multi-signature engagée permettrait de liquider les positions à effet de levier.
L'événement a été rapporté publiquement par PeckShieldAlert, une société spécialisée dans l'analyse médico-légale. en chaîne et alertes de sécurité dans DeFi. Selon leur rapport, l'attaquant a non seulement drainé les fonds, mais conserve également un contrôle opérationnel sur la multi-signature et sur une position à effet de levier dans AAVE, tandis qu'une partie des fonds en éther (ETH) a été blanchie via Tornado Cash.
Le cas analysé n’est pas exceptionnel par son montant, mais par ce qu’il révèle sur la manière dont les multisignatures sont utilisées en pratique. Pendant des années, la multisignature (multisig) a été présentée comme le « prochain niveau » de sécurité : plus de signataires, plus de protection. Cependant, l'expérience montre que La sécurité ne vient pas du nombre de signatures, mais de la conception du système de garde.
Toutes les multisignatures n'offrent pas le même niveau de blocage. Un système 1 sur 2 et/ou 1 sur 3 présente un seul point d'échec : il suffit de compromettre une seule clé pour déplacer des fonds. Dans ce cas, la multi-signature offre une redondance opérationnelle, mais pas une véritable protection contre le vol. En revanche, une multisignature 2 sur 3 introduit une dépendance entre les signataires, ce qui nécessite de compromettre au moins deux environnements différents. Cette différence n’est pas quantitative, elle est structurelle. En détention, le seuil définit l'exposition.
Dans cet incident, la compromission d’une clé privée a suffi à l’attaquant pour drainer des fonds, en blanchir une partie via un mélangeur et, plus important encore, maintenir un contrôle opérationnel sur la multisignature elle-même. Cette multi-signature a non seulement sauvegardé les actifs, mais également a pris le contrôle d’une position à effet de levier dans un protocole DeFi. Le résultat était un événement de contrôle persistant, et non une attaque ponctuelle.
Pourquoi cela se produit-il ?
Parce que de nombreuses signatures multiples sont conçues sur la base d'hypothèses faibles : que tous les signataires seront toujours disponibles, que leurs clés ne seront pas compromises, que l'environnement d'exploitation est digne de confiance. Lorsqu’une de ces hypothèses échoue, la multisignature cesse d’être une barrière, mais plutôt un levier.
Parmi les erreurs les plus courantes figurent :
- Des seuils mal définisoù une clé et/ou plusieurs clés combinées à l’automatisation peuvent être vulnérables.
- Manque de séparation des tâchesen utilisant les mêmes clés pour la garde, l'exploitation quotidienne et/ou le contrôle des contrats.
- Manque de blocages temporairesqui empêchent les mouvements immédiats, pour avoir un temps de réaction.
- Dépendance aux infrastructures chaudestels que les serveurs, les navigateurs et/ou les environnements nuagequi exposent la surface d’attaque.
- Complexité sans planificationoù des couches techniques sont ajoutées sans audit conceptuel de la conception.
Du point de vue d'un expert en matière de garde, le problème n'est pas multisignature, mais l'approche avec laquelle il est conçu. Une bonne multi-signature ne cherche pas seulement à prévenir le vol externe, mais aussi maîtriser les défaillances internes, les erreurs humaines, la coercition, les absences et/ou les scénarios extrêmes.
Qu’aurait-on pu faire de mieux ?
Tout d’abord, séparez les rôles des contextes. Une multi-signature destinée à la garde passive ne doit pas être la même que celle qui interagit avec les protocoles DeFi. Dans une autre commande, intégrer timelocksqui ajoutent une friction délibérée aux mouvements sensibles. Troisième, diversifier les environnements d'entrepriseempêcher plusieurs clés de partager le même vecteur d’attaque. Chambre, définir des issues de secoursqui permettent de bloquer et/ou de détourner des fonds en cas d'événement inhabituel.
Dans Bitcoin, ces pratiques sont beaucoup plus contrôlées. Le modèle UTXO, la possibilité de définir comment, quand il est utilisé, avec timelocks et les signatures multiples au niveau du consensus rendent l’impact d’un engagement plus limité. Au lieu de cela, dans de nombreux systèmes DeFi, une multi-signature agit comme un passe-partout sur des systèmes complexes et dynamiques.
La leçon n’est pas d’abandonner la multisignature, mais de la comprendre. Une multisignature bien conçue est un outil souverain ; Un système mal conçu est une illusion de garde.
Ce cas ne prouve pas que la multisignature soit vulnérable. prouver que La garde nécessite une conception, pas des raccourcis. Ajouter des signatures sans réfléchir aux scénarios d’échec peut créer un faux sentiment de protection.
La véritable garde naît lorsque l’on suppose que les clés peuvent échouer, que les gens peuvent commettre des erreurs et que les systèmes peuvent être attaqués. Dans ce contexte, une bonne multisignature n’élimine pas le risque : elle le gère. Et en détention, cette différence est tout.
Clause de non-responsabilité: Les points de vue et opinions exprimés dans cet article appartiennent à son auteur et ne reflètent pas nécessairement ceux de CriptoNoticias. L'avis de l'auteur est à titre informatif et ne constitue en aucun cas une recommandation d'investissement ou un conseil financier.
Voir l’article original en espagnol
