Les développeurs du réseau Taiko ont exhorté les utilisateurs à retirer leurs fonds de tous les ponts déployés sur sa blockchain Ethereum de couche 2 après avoir confirmé un compromis de son mécanisme de vérification de l'état de la chaîne.

Dans une notification de sécurité publiée dimanche, le projet a déclaré que les hypothèses de sécurité sous-jacentes à tous les ponts sur Taiko ne pouvaient plus être fiables. L'équipe a déclaré qu'elle se coordonnait avec son Conseil de sécurité et ses partenaires de l'écosystème pour contenir l'incident, mettre en pause les systèmes affectés si possible, et poursuivre des réponses techniques et juridiques.

"Nous conseillons vivement à tous les utilisateurs de retirer immédiatement leurs fonds de tous les ponts déployés sur Taiko", a écrit l'équipe sur X.

Taiko est un réseau Ethereum de couche 2 qui utilise des rollups à connaissance nulle pour traiter les transactions plus efficacement tout en restant compatible avec Ethereum. Cofondé par l'ancien PDG de Loopring, Daniel Wang, le réseau a lancé son mainnet en mai 2024 en tant que stockage de données dédié pour les solutions de mise à l'échelle d'Ethereum.

Taiko n'a pas divulgué la cause de la brèche ni fourni d'estimation des pertes ; cependant, selon la société de sécurité blockchain BlockSec Phalcon, l'attaque a entraîné des pertes dépassant 1,7 million de dollars. Dans une analyse préliminaire, la firme a déclaré que la cause probable était une clé de signature d'enclave Raiko SGX exposée qui était publiquement accessible sur GitHub.

« Parce que la clé de signature de l'enclave était publiquement accessible, le modèle de confiance du prouveur SGX a pu être compromis », a écrit BlockSec Phalcon sur X. « La clé exposée a pu permettre à l'attaquant d'enregistrer des instances SGX contrôlées par l'attaquant via SgxVerifier.registerInstance. »

Selon BlockSec, les attaquants pourraient avoir utilisé des instances de vérificateur compromises pour générer des preuves frauduleuses acceptées par les contrats de vérification de Taiko. L'attaquant a ensuite utilisé un signal falsifié pour enregistrer un faux message de pont et déclencher la libération d'actifs basés sur Ethereum depuis l'ERC20Vault du protocole.

La brèche de Taiko fait suite à une série d'exploits crypto majeurs. En avril, des attaquants ont volé 292 millions de dollars au pont inter-chaînes de KelpDAO lors d'une attaque liée plus tard au groupe Lazarus de Corée du Nord. En mai, Echo Protocol a divulgué une brèche impliquant la frappe non autorisée de 77 millions de dollars d'eBTC sur Monad, bien que le projet ait estimé les pertes réalisées à environ 816 000 dollars. Plus tôt ce mois-ci, l'échange basé sur Solana, Raydium, a perdu 1,34 million de dollars après que des attaquants aient exploité des pools de liquidité dépréciés.

Au total, les protocoles DeFi ont perdu plus de 840 millions de dollars au cours des cinq premiers mois de l'année.