Une faille de sécurité dans le protocole Fake World Assets (FWA) de TokenWorks a permis à un attaquant de manipuler un achat NFT, obligeant l'équipe à suspendre les transactions et à indemniser le propriétaire de l'actif concerné.
Selon Adam, fondateur de TokenWorks, l'attaque visait à anticiper un rappel Chainlink qui déterminait quel NFT devait être sélectionné dans une collection regroupée. Bien que le caractère aléatoire généré par Chainlink lui-même n'ait pas été affecté, l'attaquant aurait modifié le statut du protocole avant la fin du rappel, ce qui a abouti à la sélection du CryptoPunk #5450 – le NFT le plus précieux du pool.
L'attaquant a acheté le CryptoPunk pour environ 66 000 $ d'Ether, après quoi le protocole est immédiatement passé en « mode de retrait uniquement » au bloc 25452023. L'équipe a également créé des instantanés des détenteurs de jetons FWA pour empêcher d'autres achats tout en permettant aux déposants de récupérer leurs actifs.
TokenWorks suspend le protocole après une faille de sécurité
Adam a déclaré que TokenWorks avait contacté le propriétaire de CryptoPunk #5450 et couvrirait toutes les pertes d'ETH associées à l'incident. Il a ajouté que l'équipe passerait les prochains jours à enquêter sur l'exploit avant de décider si le protocole peut continuer à fonctionner en toute sécurité ou nécessite un redémarrage.
L'incident met en évidence un défi permanent dans la conception d'applications décentralisées : même lorsque les fonctions de randomisation externes fonctionnent comme prévu, des vulnérabilités peuvent survenir si l'état du protocole peut changer avant que ces valeurs aléatoires ne soient appliquées. Dans ce cas, l'exploit s'est concentré sur le timing d'exécution plutôt que sur une faille dans l'infrastructure de valeurs aléatoires vérifiables de Chainlink.
TokenWorks est devenu connu pour avoir lancé des produits expérimentaux en chaîne qui comportent souvent des mécanismes de jetons non conventionnels. Plusieurs lancements précédents, notamment Top Blaster, Cabalcoin, CTO et Ten Thousand Token, ont été suivis par des réflexions publiques documentant des problèmes techniques ou des défauts de conception. Une exception notable était PunkStrategy, qui a été plus largement adopté malgré des signaux de trading en chaîne prévisibles.
Bien que TokenWorks ait documenté publiquement les lancements réussis et infructueux, l'incident met en évidence les risques auxquels les utilisateurs sont confrontés lorsqu'ils interagissent avec des contrats intelligents à un stade précoce, même si les développeurs s'engagent à indemniser pleinement les participants concernés après des pannes inattendues.
EN SAVOIR PLUS: Le prix du Worldcoin brise la tendance baissière de plusieurs semaines alors que les acheteurs reprennent le contrôle
Voir l’article original en allemand
