Un coffre-fort non identifié a subi une attaque exploitant une faille de sécurité sur la multi-signature pour 60 000 dollars, mettant 317 000 dollars en risque

Des chercheurs en sécurité ont révélé qu’un contrat de coffre-fort anonyme... Les attaquants ont exploité une faille dans les mécanismes de contrôle de la liste blanche et des signatures multiples, entrainant une perte d’environ 6 millions de dollars pour cette blockchain. L’événement a été découvert le 4 octobre, lorsque la société de sécurité blockchain Blockaid a détecté des retraits anormaux. En environ 40 minutes, les pertes estimées sont passées de 20,200 dollars à près de 6 millions de dollars.

Selon les données de GoPlus, PeckShield, CertiK et Exvul, les attaquants ont emprunté 1 783,067 aBaswstETH depuis le coffre, qu’ils ont échangés contre des reçus Aave afin d’obtenir environ 1 783 wstETH. aBaswstETH représente des Ether stakés enveloppés fournis au marché Aave Base.

Cette attaque n’a pas été causée par une faille dans les contrats de prêt principaux d’Aave ni dans le réseau Base. Les enquêteurs ont déterminé que le vol était lié à une défaillance de la gouvernance multi-signatures et des mécanismes de contrôle d’accès du coffre-fort. Un contrat nouvellement créé a été ajouté à la liste blanche de prêts du coffre via une transaction multi-signature Safe. Une fois sur la liste, ce contrat pouvait emprunter les positions Aave du coffre et racheter les actifs sous-jacents.

Les opérateurs du coffre-fort étaient trois comptes Safe créés avec Safe Proxy Factory 1.4.1. Sept adresses de signature contrôlent ces comptes, mais leurs identités n’ont pas encore été révélées. Les enquêteurs peuvent retracer les transactions on-chain, mais il n’est pas possible de déterminer à partir des seuls enregistrements blockchain si la mise à jour de la liste blanche a résulté d’un vol de clés, d’une attaque d’ingénierie sociale, d’une menace interne ou d’une autre erreur de gouvernance.

À noter : durant les 25 jours précédant l’attaque, aucun mouvement n’avait été enregistré sur ce coffre, mais deux transactions ont soudainement eu lieu pendant l’incident. Cette activité inattendue pourrait indiquer une compromission de l’identité des signataires ou qu’un initié a approuvé le changement. Pour l’instant, aucune société de sécurité n’a officiellement confirmé la cause exacte.

Propriété non revendiquée et exposition résiduelle au risque

En l’absence de propriétaire connu, les contre-mesures sont difficiles à mettre en œuvre. Aucun projet ou équipe n’a publiquement reconnu l’existence de ce coffre ni publié de plan de remédiation ou d’explication quant à l’approbation non autorisée d’un ajout à la liste blanche. Le coffre se base sur un proxy transparent OpenZeppelin, avec des privilèges de mise à niveau séparés, créant ainsi une couche de contrat supplémentaire entre les détenteurs d’actifs et les contrôleurs finaux.

On rapporte qu’il reste environ 317 000 dollars dans le coffre après les retraits. Un utilisateur on-chain non identifié a ensuite envoyé un message à l’attaquant, l’incitant à retirer les fonds restants et à demander une récompense, mais aucune réponse publique n’a été confirmée à ce jour.

Pour l’instant, le risque systémique direct semble limité, car le déploiement Base d’Aave et sa blockchain sous-jacente n’ont pas été affectés. Toutefois, cet incident démontre que les risques liés à la gestion des privilèges peuvent dépasser ceux des smart contracts qu’ils supervisent. Si l’identité des signataires, les procédures de revue des transactions ou les contrôles internes sont faibles, l’approbation multi-signatures seule ne garantit pas la sécurité.

Cet événement soulève également des préoccupations concernant la liquidité du wstETH. La vente de près de 1 783 wstETH pourrait exercer une pression à court terme sur le marché, même si aucune menace réelle n’a été détectée sur le peg global du token de reçu pour l’instant. Si les signataires du Safe, l’organisation contrôlant le coffre ou l’attaquant révélaient leur identité, davantage de détails pourraient émerger.