Lorsque des millions de dollars en crypto sont dérobés à un protocole de finance décentralisée, des questions difficiles suivent souvent – et l'exploit de 285 millions de dollars du protocole Drift mercredi ne fait pas exception.
Le projet basé sur Solana a été propulsé sous les feux des projecteurs alors que des chercheurs et des experts examinent sa conception, soulevant des questions sur la possibilité que certaines caractéristiques de conception ou procédures aient pu empêcher quelqu'un de réaliser l'une des attaques DeFi les plus lucratives de l'histoire récente.
Dans une publication sur X, Drift a déclaré qu'un acteur malveillant avait obtenu un accès non autorisé à sa plateforme via une « attaque inédite », qui lui a conféré des pouvoirs administratifs sur le soi-disant conseil de sécurité de Drift. Ils ont ajouté que l'attaque impliquait probablement un certain degré d'« ingénierie sociale sophistiquée ».
Le cambriolage, l'un des plus importants de l'histoire récente de la DeFi, a reposé sur l'introduction d'un faux actif numérique sur l'échange décentralisé et la modification des limites de retrait de la plateforme. Après avoir gonflé la valeur du jeton malveillant, l'attaquant a pu rapidement siphonner la liquidité réelle de Drift en abusant des mécanismes d'emprunt.
Il existe des indications selon lesquelles l'exploit est lié à la République populaire démocratique de Corée, a déclaré la société d'intelligence blockchain Elliptic dans un rapport jeudi. Ils ont souligné le comportement on-chain de l'attaquant, les méthodologies de blanchiment et les indicateurs au niveau du réseau.
Les dépôts des utilisateurs étant affectés — et le protocole gelé à titre de mesure de précaution —, les observateurs se concentrent également sur un élément central de la conception de Drift : un portefeuille multi-signatures, où les signatures produites par deux clés privées ont permis à l'attaquant d'obtenir des pouvoirs étendus.
Les portefeuilles multi-signatures représentent un point de centralisation pour de nombreux projets DeFi, et l'incident expose la réalité inconfortable que les audits de contrats intelligents ne peuvent prévenir qu'une partie des dommages, selon David Schwed, COO de SVRN et expert en sécurité blockchain.
Il a déclaré à Decrypt que Drift est devenu le dernier exemple en date de la manière dont les services qui visent à remplacer les intermédiaires financiers par du code dépendent fréquemment de petites équipes et de points de centralisation comme les portefeuilles multi-signatures qui présentent des risques de cybersécurité.
« Tous les ingénieurs se concentrent aujourd'hui sur l'aspect technologique de la sécurité, ils ne se concentrent pas sur les personnes impliquées dans le processus », a-t-il déclaré. « Donc oui, le protocole est décentralisé, mais sa gouvernance est centralisée sur cinq personnes. »
Schwed a comparé la faille de sécurité de Drift à l'un des hacks DeFi les plus notoires, où plus de 625 millions de dollars d'actifs numériques ont été volés par des hackers liés à la Corée du Nord en 2022. Ils ont ciblé Ronin, une sidechain Ethereum développée pour le jeu NFT à succès Axie Infinity. L'attaque a reposé sur l'obtention d'un accès à cinq clés privées, selon la firme de sécurité blockchain Chainalysis.
Alors que les analystes blockchain y voient les empreintes d'un État-nation, d'autres affirment que la précision de l'attaque suggère une connaissance plus intime du protocole. Schwed a douté que des hackers liés à la Corée du Nord soient impliqués dans le hack contre Drift car il a l'impression que l'attaquant, peut-être un initié, « savait qui cibler ».
Des observateurs ont spéculé qu'un « verrouillage temporel » aurait pu empêcher l'exploit de se produire si rapidement. Cette fonctionnalité de contrat intelligent restreint l'exécution de transactions ou l'accès aux fonds jusqu'à ce qu'une heure future spécifique soit atteinte, offrant potentiellement à l'équipe de Drift une fenêtre pour intervenir.
« Les verrous temporels sont utiles pour gagner du temps afin de réagir à une telle attaque, et auraient aidé ici – mais ce n'est pas la cause profonde », a déclaré Stefan Byer, associé gérant chez Oak Security, à Decrypt. « Le plus grand problème était que – encore une fois – une clé privilégiée avait été compromise. »
Malgré tout, Dan Hongfei, fondateur et président de Neo Blockchain, a soutenu que les protocoles comme Drift, qui abritent des millions de dollars de fonds, ne devraient pas être vidables instantanément.
Dans une publication sur X, il a déclaré que des verrous temporels liés aux actions critiques, comme l'inscription d'actifs à haut risque, doivent être appliqués pour « empêcher un attaquant de compléter toute la chaîne d'exploit en quelques secondes ».
Ce sentiment a été partagé par Or Dadosh, fondateur de Venn Network, fournisseur d'infrastructure de sécurité crypto. Il a également évoqué les disjoncteurs automatiques, qui permettent aux projets de suspendre instantanément les opérations si les seuils de vitesse ou de volume de sortie anormaux sont dépassés.
Plusieurs experts en sécurité ont parié que Drift ne serait pas le dernier projet DeFi à subir un exploit comme celui survenu mercredi. Ils ont noté que les acteurs malveillants se tournent de plus en plus vers l'IA, utilisant des algorithmes pour acquérir une compréhension complète de leur prochaine cible.
« Nous avons atteint un niveau où un acteur malveillant peut imiter la voix de votre mère lors d'un appel téléphonique », a déclaré Dadosh à Decrypt. « Nous vivons dans une nouvelle ère où les attaques financières peuvent apparaître dans des endroits et sous des formats que nous n'aurions même pas pu imaginer il y a un an. »
