Un attaquant n’a dépensé que neuf cent cinquante et un dollars pour s’emparer de suffisamment de pouvoir de vote pour drainer 8,5 millions de dollars d’un protocole de prêt ce week-end. Il ne s'agit pas d'un exploit Zero Day.
Pas des mois de reconnaissance. Juste un petit achat de jetons de gouvernance, une participation et un vote que personne ne surveillait d'assez près pour arrêter à temps. Et selon au moins un constructeur DeFi, ce mode de défaillance spécifique n'est pas un hasard, c'est le résultat prévisible de la façon dont les incitations aux coffres-forts sont structurées dans l'ensemble du secteur.
Qu'est-il réellement arrivé au financement à terme
La société de sécurité Blockchain PeckShield a directement confirmé l'exploit, signalant que Term Labs avait été touché pour environ 8,5 millions de dollars en raison d'un exploit de gouvernance affectant les coffres Term. Selon leur suivi, l'exploiteur a drainé environ 2 843 ETH, d'une valeur d'environ 6,87 millions de dollars, et 1,68 million d'USDC, d'une valeur d'environ 1,68 million de dollars, l'USDC étant déjà échangé contre 1,68 million de DAI. Le financement initial de l'attaquant provenait de seulement 2 ETH provenant de Tornado Cash.
La mécanique de l’attaque est ce qui la rend véritablement différente d’un hack classique. Le pouvoir de vote à l'intérieur des coffres-forts de Term nécessitait de jalonner les actions du coffre-fort, et il s'avère que presque personne n'avait réellement misé les actions du coffre-fort. L’offre jalonnée avant la vidange se situait à seulement 0,5352 gtmvETH. Le 17 août, l'attaquant a acheté 0,4852 tmvETH pour environ 0,5 ETH, soit environ 951 $ à l'époque, et l'a mis en jeu, et cet achat unique lui a donné à lui seul environ 90,66 % de tous les votes existants dans le pool.
Avec cette grande majorité en main, l'attaquant a simplement voté pour rediriger les fonds du coffre-fort vers sa propre adresse, sans qu'aucun exploit de code ne soit requis, juste un mécanisme démocratique que personne n'a pris la peine de sécuriser.
Une répétition moins coûteuse d’une attaque que nous avons déjà vue
Je pense que ce qui rend cet exploit encore plus piquant, c'est qu'il ne s'agit pas d'un nouveau modèle d'attaque, mais d'une version moins chère de celui que l'industrie a déjà vu se produire plus tôt cette année. Psykeeper a établi une comparaison directe avec l'exploit BonkDAO de juillet, où une proposition de gouvernance malveillante a coûté environ 20 millions de dollars. La différence structurelle ici est ce qui devrait véritablement inquiéter quiconque gère un coffre-fort avec une faible participation électorale : là où l'attaquant de BonkDAO devait dépenser des millions de dollars pour accumuler suffisamment de pouvoir de vote, l'attaquant de Term Finance n'avait besoin que de dépenser 951 $.
Ce n’est pas une coïncidence, c’est une fonction directe de la part de l’offre de coffre-fort de Term réellement mise en jeu et participant à la gouvernance. Lorsque presque personne ne vote, le coût d’achat d’une participation majoritaire s’effondre à presque rien, et la barrière entre « protocole sûr » et « 8,5 millions de dollars drainés » revient à celui qui remarque en premier la vulnérabilité.
Pourquoi un co-fondateur dit que l'ensemble du modèle Vault est cassé
Cet exploit a atterri en plein milieu d’une conversation plus large de l’industrie qui s’était déjà développée. Le co-fondateur de Glider a déclaré sans ambages que les gens devraient simplement cesser d'utiliser les coffres-forts, décrivant ce qu'il a décrit comme une structure d'incitation fondamentalement mal alignée qui s'applique à l'ensemble de la catégorie.
Son argument se décompose en trois échecs connectés. Premièrement, les conservateurs sont incités à prendre plus de risques, notamment pour annoncer des TAEG plus élevés, et ce faisant, ils finissent par dépendre de jetons tiers qu'ils ne contrôlent pas réellement, des jetons qui comportent exactement les mêmes problèmes sous-jacents. Deuxièmement, les équipes qui construisent ces coffres-forts sont constamment à la recherche des audits les moins chers possibles, simplement pour maintenir le flux de trésorerie du coffre-fort positif, ce qui sélectionne défavorablement les pires auditeurs prêts à travailler à ce prix-là. Troisièmement, et je pense que c’est le point le plus important des trois, les auditeurs eux-mêmes n’ont aucune part dans le jeu et, dans la pratique, ils fonctionnent donc comme des tampons automatiques pour lesquels les projets se contentent de payer. Il a conclu le fil de discussion avec une question qui, à mon avis, mérite une vraie réponse de la part de l'industrie : combien de fois cette année seulement avons-nous déjà vu un tweet exactement comme celui-ci, décrivant exactement ce type d'échec évitable.
À quoi aurait ressemblé la prévention réelle
Je pense qu’il vaut la peine d’être précis sur ce qui aurait pu empêcher cela, car la réponse n’est ni compliquée ni exotique. Psykeeper a directement souligné les systèmes de surveillance en chaîne comme Hypernative Labs comme le type d'infrastructure qui aurait détecté cette attaque avant son exécution, étant donné qu'un portefeuille accumulant soudainement 90 % du pouvoir de vote d'un pool de gouvernance avec un achat de 951 $ est exactement le genre d'anomalie que la surveillance automatisée est conçue pour signaler en temps réel.
Il a également soulevé une tension véritablement importante qui, à mon avis, n'est pas suffisamment discutée : le pouvoir de veto sur les propositions de gouvernance malveillantes est important, mais ce même mécanisme de veto est lui-même une surface d'attaque en chaîne qui nécessite une conscience constante et urgente pour fonctionner réellement comme une protection. Le logiciel, comme il l’a dit, est comme un être vivant, il a besoin de temps, d’attention, d’énergie et de concentration continus de la part des personnes qui l’ont construit pour réellement survivre. Un système de gouvernance avec pratiquement aucune participation active n’est pas sécurisé par défaut ; il n’est tout simplement pas défendu jusqu’à ce que quelqu’un décide de le tester.
Comment l'écosystème de Term a réagi pour contenir les dégâts
Au crédit du protocole, la réponse de l'écosystème plus large de Term a été rapide pour rassurer les utilisateurs sur ce qui n'était pas affecté. Tori, un projet connecté à l'infrastructure de Term, a confirmé directement qu'il n'avait aucune exposition à l'exploit. Selon Tori, les détenteurs de trUSD et de strUSD n'avaient aucune exposition, les participants d'Ecosystem Vault restent entièrement couverts et toutes les opérations continuent de se dérouler normalement.
La déclaration était directe sur ce que les utilisateurs devaient réellement faire en réponse : rien. Que quelqu'un détienne une position trUSD, strUSD ou Ecosystem Vault, son solde reste exactement là où il était et aucune action n'est requise.
Je pense que ce type de communication claire et immédiate est extrêmement important au milieu d'un exploit comme celui-ci, car la confusion et la panique nuisent souvent autant à la confiance des utilisateurs que l'exploit lui-même, en particulier lorsque des parties d'un écosystème n'ont véritablement pas été touchées.
Ce que cela signifie pour toute personne utilisant encore les produits Vault
Je ne pense pas que la leçon à retenir ici soit que chaque produit de coffre-fort est intrinsèquement dangereux, mais je pense que cet exploit ajoute un poids réel et concret aux critiques structurelles soulevées juste à côté. Une attaque réussie de 951 $ contre 8,5 millions de dollars de fonds d'utilisateurs n'est pas une histoire de piratage sophistiqué, c'est une histoire de systèmes de gouvernance qui n'ont jamais été véritablement testés sous la pression adverse jusqu'à ce que quelqu'un décide finalement d'essayer.
La vérité inconfortable qui se cache derrière cet exploit et les critiques plus larges du coffre-fort qui circulent cette semaine est qu'une faible participation, des audits minces et des incitations mal alignées ne rendent pas seulement une attaque possible, ils la rendent bon marché, et les attaques bon marché se répètent. Jusqu'à ce que les architectures de coffre-fort résolvent réellement le problème spécifique de la participation quasi nulle à la gouvernance, créant des rachats à coût quasi nul, je m'attendrais à ce que ce schéma exact, petite participation, majorité qualifiée soudaine, trésorerie drainée, continue d'apparaître dans les rapports de sécurité pendant le reste de l'année.
Divulgation : Il ne s’agit pas de conseils en matière de trading ou d’investissement. Faites toujours vos recherches avant d’acheter une crypto-monnaie ou d’investir dans un service. Suivez-nous sur X @nulltxnews
Voir l’article original en anglais
