La communauté crypto a jeté son dévolu sur une situation plutôt bizarre au sein de l’AAVE. Tout a commencé lorsque Stani Kulechov, fondateur du protocole, a signalé un événement aussi étrange que coûteux : un trader DeFi a utilisé AAVE pour acheter des jetons $AAVE d'une valeur de 50 millions de dollars en USDT.
Le résultat final a été surprenant : le trader s'est retrouvé avec un peu moins de 36 000 $ dans son portefeuille. Le reste de l’argent s’est pratiquement évaporé. Et non, ce n'était pas un hack. Selon Kulechov lui-même, tout s'est passé exactement comme le système était conçu pour fonctionner.
50 millions de dollars qui disparaissent en un clic
Tout a commencé avec un trader DeFi qui avait un objectif clair : prendre ses 50 millions de dollars en USDT et les convertir en jetons $AAVE. Pour ce faire, il a décidé d’opter pour ce qui semblait être l’option la plus sûre : AAVE, la maison du token qu’il souhaitait acheter.
Sur le papier, la décision était logique. AAVE est l'un des plus grands protocoles DeFi de l'écosystème, avec un énorme TVL et de profonds pools de liquidités capables d'absorber des transactions importantes sans trop de problèmes. De plus, les opérations du protocole sont actuellement alimentées par CoW Protocol, un système conçu précisément pour optimiser les exécutions et minimiser les problèmes tels que le glissement ou le MEV. Jusqu’à ce moment-là, rien ne semblait sortir de l’ordinaire.
Notre trader s'en va, ouvre AAVE, connecte son portefeuille et effectue l'opération avec un avertissement, son opération est très élevée et peut avoir un « dérapage élevé ». Le commerçant accepte et la transaction 0x9fa9feab3c1989a33424728c23e6de07a40a26a98ff7ff5139f3492ce430801f commence à être traitée.
À la fin de la transaction, vos 50 millions d'USDT représentent un peu plus de 36 000 dollars. C'est vrai, 50 millions USDT disparaissent en un clic.
Binance poursuit le Wall Street Journal pour un rapport sur des liens présumés avec l'Iran
Un sérieux échec de l’AAVE
Avant l'événement, Stani Kulechov vient parler de ce qui s'est passé. Tout d'abord, il convient de souligner qu'en cas de ce type d'événement, l'AAVE indique généralement aux traders que cela peut entraîner un fort dérapage ou un dérapage des prix, et qu'une confirmation supplémentaire est requise pour l'opération. Quelque chose que notre commerçant a accepté.
Kulechov ajoute qu'une fois l'opération acceptée et réalisée, tout était entre les mains du protocole CoW. Le problème ici est de savoir comment acheminer une transaction d'échange de 50 millions USDT pour que l'utilisateur se retrouve avec un peu plus de 36 000 USDT ? De plus, comment AAVE se retrouve-t-il avec 600 000 $ de commissions alors que le trader perd 99 % de sa richesse en un seul clic ?
Kulechov n'en parle pas, il indique seulement dans son post X qu'ils essaieront de contacter le commerçant pour lui restituer les 600 000 dollars de commissions, et qu'ils enquêteront sur les mesures de sécurité pour éviter que cela ne se reproduise.
Un problème de mise en œuvre
Il s'agit clairement d'un bug d'implémentation, et pour le démontrer, voyons l'explication de @mgrabina, ingénieur AAVE. Martin explique que l'opération en question a été réalisée avec un dérapage de 1,21%, ce qui signifie que notre trader perdrait au maximum environ 50 mille dollars pour son opération, sans compter les commissions.
Mais la réalité est qu’il a tout perdu. Martin essaie de nous dire que tout a été transparent, que cela peut être examiné dans l'explorateur de blocs du protocole CoW, et c'est vrai, à une exception près : dans l'explorateur, vous ne pouvez voir que les transactions déjà effectuées, pas les transactions futures.
Dans l'interface AAVE, en revanche, vous pouvez voir l'intégralité du swap, avec ce que vous modifiez et ce que vous recevrez. Et c’est là que se situe le véritable échec : si l’AAVE, en tant qu’espace d’échange, constate une perte de valeur dans ladite opération (causée par un dérapage ou un mauvais taux de change), pourquoi n’évite-t-elle pas l’opération ?
JP Morgan accusé d'avoir facilité un système de crypto-ponzi de 328 millions de dollars
C'est simple, si dans une opération d'échange vous perdez plus de valeur que le glissement que vous avez accepté, alors cette opération ne doit pas être effectuée. Cela vous oblige à reconfigurer ces valeurs (ce qui vous mettra évidemment en alerte) et vous laissera la possibilité d'éviter ces problèmes. Eh bien, rien de tout cela ne s’est produit, c’est pourquoi Stani parle de « mesures de sécurité qui empêchent cela ».
Si votre protocole accepte des éléments tels que des indications de glissement, mais effectue néanmoins la modification en dehors de ces valeurs, vous ne pouvez pas reprocher à l'utilisateur d'avoir « cliqué sur une case », et encore moins de célébrer en disant « tout s'est déroulé comme prévu ».
Le fléau des robots MEV
Dans tout cela, les grands gagnants ont été les MEV Bots, qui se sont chargés de manipuler la transaction du commerçant pour garder tout l'argent pour eux. Mais pas seulement le MEV, même un constructeur (un constructeur de blocs Ethereum) en a tiré un profit important.
Tobal Garcia de Sky (@tobalgarcia_) explique ce qui s'est exactement passé dans le processus de transaction et qui sont les grands gagnants dans tout cela. Tout d’abord, le constructeur Titan, bien connu dans la communauté Ethereum, a retiré plus de 33 millions de dollars de l’opération. Deux autres robots MEV opérant avec Titan ont reçu un total de 12 millions de dollars, les fournisseurs de liquidités ont conservé 2,9 millions, LIDO, qui a agi en tant que promoteur du bloc, a conservé 1,2 million de dollars, CoW/AAVE a conservé 600 mille dollars de commissions et le reste est ce que l'utilisateur a reçu : 36,2 mille dollars.
Comme vous pouvez le voir dans la chaîne, il n'y a pas de petits noms. Titan est l'un des plus grands constructeurs de blocs (comme un mineur) du réseau Ethereum. LIDO est la plus grande plateforme de jalonnement du réseau et a un poids énorme lorsqu'il s'agit de proposer des blocs, dont beaucoup sont d'ailleurs construits par Titan. La collusion de ces acteurs est claire pour ce qui est arrivé à ce trader, et à ce qui est arrivé à beaucoup d'autres au fil des années, depuis qu'Ethereum est devenu un réseau de staking, même si pendant sa période de preuve de travail, il a également eu ce problème, avec moins d'impact.