La sécurité sur la blockchain Ethereum est confrontée à un défi de taille, comme l’a révélé le spécialiste de la sécurité numérique OpenZeppelin.
Une vulnérabilité critique a été identifiée dans l’intégration des normes ERC-2771 et Multicall, entraînant des risques pour les utilisateurs et les projets, notamment le vol de fonds en Ether (ETH) et USD Coin (USDC).
La faille d’intégration d’ERC-2771 et Multicall, mise en évidence par OpenZeppelin, impacte un large éventail de contrats intelligents. Cela inclut la prise en charge des jetons ERC-20 (utilisés par les stablecoins) et ERC-721 (utilisés dans les NFT), générant une potentielle attaque « d’usurpation d’adresse ». Cette méthode trompeuse a conduit au vol de 87 ETH et 17 394 USDC.
La vulnérabilité a été découverte le 20 novembre, lorsque l’équipe OpenZeppelin a reçu une alerte de ThirdWeb, une société qui propose des solutions pour les projets web3.
Après une validation rapide, il est devenu clair que le problème ne se limitait pas à la bibliothèque de contrats OpenZeppelin et affectait donc plusieurs contrats intelligents.
Des failles provoquent le vol d’Ethereum
Pour identifier les contrats vulnérables, OpenZeppelin fournit des outils tels que Code Inspector. ThirdWeb fournit également une plateforme pour vérifier la sécurité des contrats mis en œuvre par votre bibliothèque.
Les mesures d’atténuation incluent la désactivation des transitaires de confiance, la suspension des contrats, la révocation des approbations d’autorisation et la préparation de mises à jour pour récupérer les contrats concernés. OpenZeppelin a publié une mise à jour d’OpenZeppelin Contracts (versions 4.x et 5.x), permettant une utilisation sûre de Multicall avec ERC-2771, minimisant ainsi les risques.
La norme ERC-2771 établit une norme pour les méta-transactions, permettant à un répartiteur d’agir en tant qu’intermédiaire, garantissant la transmission correcte des informations de l’expéditeur.
La norme Multicall (ERC-6357) permet plusieurs appels de fonctions en une seule transaction, réduisant ainsi les coûts de gaz. L’incapacité à intégrer ces normes a entraîné une vulnérabilité d’« usurpation arbitraire d’adresse », permettant une manipulation malveillante de la résolution de l’expéditeur et facilitant le vol de fonds.
Face à cette situation critique, la communauté s’engage activement dans la recherche de solutions et de mises à jour pour protéger les contrats et les utilisateurs concernés.