Un attaquant a soutiré environ 72 000 $ en jetons STRONG et STRNGR après avoir pris le contrôle du système de gouvernance on-chain abandonné de StrongBlock via une proposition malveillante.
Selon la société de sécurité blockchain Defimon Alerts, l'attaquant a acquis suffisamment de pouvoir de vote dans la gouvernance de StrongBlock pour faire adopter une proposition qui a finalement transféré le contrôle administratif du contrat de Gouverneur du protocole avant que les fonds ne soient retirés.
Au lieu d'exploiter une faille dans les contrats intelligents de StrongBlock, l'attaquant a utilisé le propre processus de gouvernance du protocole pour obtenir un accès privilégié. Après avoir obtenu les droits d'administrateur, l'attaquant a mis à niveau le proxy du Gouverneur vers une nouvelle implémentation qui a permis des appels de contrats arbitraires en utilisant l'autorité du Gouverneur.
L'incident s'ajoute à une série d'événements de sécurité crypto récents qui ont ciblé les systèmes de gouvernance, l'infrastructure de support et les logiciels de portefeuille via différentes voies d'attaque plutôt que de s'appuyer uniquement sur des bugs de contrats intelligents.
Avant que l'attaque ne se déroule, l'attaquant a accumulé la majorité du jeton de gouvernance STRONG du protocole, que Defimon Alerts a décrit comme étant devenu presque sans valeur après l'abandon du projet.
Disposant d'un pouvoir de vote suffisant, l'attaquant a soumis une proposition de gouvernance demandant au contrat Upgrader du Gouverneur d'exécuter setPendingAdmin(attaquant), faisant de l'adresse de l'attaquant l'administrateur en attente.
Plutôt que de contourner la gouvernance, la proposition a progressé à travers toutes les étapes requises. Elle a reçu suffisamment de votes, est entrée dans la file d'attente et a été exécutée conformément au processus de gouvernance normal du protocole, transférant finalement le contrôle administratif du proxy du Gouverneur à l'attaquant.
Les privilèges administratifs ont ensuite permis à l'attaquant de remplacer l'implémentation du Gouverneur par un contrat minimal et non vérifié contenant une fonction forward(adresse, bytes).
Selon Defimon Alerts, la fonction était restreinte au compte détenu en externe de l'attaquant et servait effectivement de mécanisme d'appel arbitraire, permettant à l'attaquant d'exécuter des transactions avec l'autorité du Gouverneur à travers les contrats de StrongBlock.
Les transferts de jetons se sont produits dans la transaction suivante.
En utilisant l'implémentation mise à niveau, l'attaquant a exécuté des transactions qui ont transféré des actifs du pool du protocole plutôt que d'exploiter une erreur dans la logique des contrats du protocole.
Defimon Alerts a déclaré que l'attaquant avait retiré 32 695 jetons STRONG ainsi que 383 447 jetons STRNGR, portant la valeur estimée des actifs volés à environ 72 000 $.
La firme de sécurité a caractérisé l'incident comme une prise de contrôle de la gouvernance car chaque action critique, y compris le changement d'administrateur et la mise à niveau du contrat, s'est produite via les permissions de gouvernance plutôt que par une vulnérabilité logicielle.
En remplaçant l'implémentation du Gouverneur avant de déplacer les fonds, l'attaquant a transformé le contrat de gouvernance lui-même en mécanisme utilisé pour autoriser les transferts.
Les incidents de sécurité récents ont démontré que les attaquants ciblent de plus en plus différentes parties de l'infrastructure crypto.
Fin du mois dernier, le protocole de perpétuels décentralisés Ostium a conclu que des attaquants avaient volé 23,75 millions de USDC après avoir obtenu un accès non autorisé à son infrastructure off-chain au lieu d'exploiter des vulnérabilités dans ses contrats intelligents.
Selon le post-mortem d'Ostium, des rapports de prix BTC-USD frauduleux soumis via une infrastructure de confiance ont permis à l'attaquant de générer des profits de trading artificiels qui ont été réglés contre le coffre de liquidité OLP public du protocole. Une analyse antérieure de la firme de sécurité blockchain Blockaid a également conclu que des rapports d'oracle manipulés, plutôt que des failles dans le code du contrat, avaient permis l'exploit.
Séparément, l'incident du portefeuille Coldcard est né d'un problème de firmware introduit lors d'une mise à jour logicielle en mars 2021. Les équipes d'ingénierie et de sécurité Bitcoin de Coinkite et Block ont conclu que le firmware affecté générait les graines de portefeuille en utilisant un générateur pseudo-aléatoire déterministe au lieu du générateur de nombres aléatoires matériel prévu, réduisant l'entropie utilisée pour créer les clés privées.
Galaxy Research a confirmé des vols totalisant 1 596 BTC sur environ 7 300 adresses liées à trois vagues d'attaque. La firme de recherche a également identifié une quatrième vague coordonnée suspectée impliquant 448,7 BTC supplémentaires, bien qu'elle n'ait pas encore inclus ces adresses dans son total confirmé car une confirmation de victime supplémentaire est en attente.
L'incident de Coldcard a incité les développeurs à examiner une portion beaucoup plus importante de l'écosystème logiciel de Bitcoin.
Plus tôt cette semaine, le développeur Bitcoin Calle a déclaré que l'Équipe Rouge Bitcoin bénévole avait effectué des examens assistés par IA et manuels sur 390 référentiels liés à Bitcoin, identifiant 4 962 problèmes de sécurité potentiels, dont 720 classés comme de gravité élevée ou critique.
Selon Calle, environ 21,4% des résultats signalés ont déjà été reproduits par vérification manuelle avant d'être divulgués en privé aux développeurs concernés.
La campagne d'examen couvre les portefeuilles Bitcoin, les bibliothèques cryptographiques, les logiciels d'infrastructure et d'autres projets open source. Calle a déclaré qu'OpenSats finançait environ 10 000 $ par jour en coûts de calcul, tandis que Kimi Moonshot a fourni des comptes IA et un accès à son modèle Kimi K3 pour soutenir cet effort.
Contrairement à l'exploit d'Ostium ou à l'incident du portefeuille Coldcard, l'attaque de StrongBlock ne s'est pas appuyée sur une infrastructure compromise, une manipulation d'oracle ou des faiblesses cryptographiques.
Au lieu de cela, l'attaquant a d'abord obtenu le contrôle de la gouvernance avant de modifier le propre contrat d'administrateur du protocole.
Selon Defimon Alerts, la mise à niveau du proxy du Gouverneur vers une implémentation contenant la fonction forward(adresse, bytes) restreinte a donné au portefeuille de l'attaquant l'autorité exclusive pour exécuter des appels arbitraires via le contrat de Gouverneur.
Les actifs volés ont ensuite été transférés en utilisant des permissions que le protocole lui-même a accordées après l'achèvement de la proposition de gouvernance, illustrant comment les systèmes de gouvernance abandonnés peuvent continuer à exercer un contrôle administratif sur les contrats de protocole même après que l'activité de développement ait largement cessé.
