Détails du flux : exploitation de 3,9 millions de dollars après qu'une faille de Cadence a permis la duplication de jetons

Source : DefiPlanet Titre original : Détails du flux : exploit de 3,9 millions de dollars après une faille Cadence ayant permis la duplication de jetons Lien original :

Analyse rapide

• Une faille d’exécution Cadence a permis la duplication de jetons, entraînant des pertes confirmées de 3,9 millions de dollars.
• Aucun solde utilisateur n’a été vidé ; la plupart des actifs contrefaits ont été gelés avant la liquidation.
• Flow a corrigé le problème et déployé des mesures de sécurité et de surveillance renforcées.

Détails techniques

La Fondation Flow a publié une analyse post-mortem technique expliquant une faille au niveau du protocole qui a permis à un attaquant de contrefaire des jetons sur le réseau, causant une perte estimée à 3,9 millions de dollars avant que l’incident ne soit maîtrisé.

L’exploitation, qui a eu lieu le 27 décembre, provenait d’une faille dans l’environnement d’exécution Cadence de Flow, permettant à certains actifs d’être dupliés au lieu d’être correctement créés. Cela a contourné les contrôles d’approvisionnement mais n’a pas impliqué la vidange ou l’accès aux soldes existants des utilisateurs.

Les validateurs ont identifié l’activité malveillante et coordonné une suspension du réseau dans les six heures suivant la première transaction exploitée. Pendant la pause, la blockchain a été mise en mode lecture seule pour empêcher toute duplication supplémentaire d’actifs, tandis que les principaux partenaires d’échange ont gelé la majorité des jetons contrefaits avant qu’ils ne soient vendus.

Flow a indiqué que les opérations normales ont repris deux jours plus tard après un processus de « récupération isolée » qui a préservé l’historique des transactions légitimes et permis la récupération et la destruction permanente des faux actifs via une approbation de gouvernance.

La Fondation a souligné qu’aucun fonds utilisateur n’a été volé, car l’exploitation concernait la duplication plutôt que la suppression d’actifs. Un petit nombre de comptes ayant interagi avec des jetons contrefaits ont été temporairement restreints, tandis que plus de 99 % des utilisateurs ont conservé un accès complet tout au long de la récupération.

Correctif de sécurité et mesures futures

Bien que l’attaquant ait créé un grand volume de jetons contrefaits sur la chaîne, Flow a indiqué que la majorité ont été contenues ou gelées avant que la liquidation ne puisse avoir lieu.

La vulnérabilité sous-jacente a depuis été corrigée, la Fondation ayant introduit des contrôles d’exécution plus stricts, étendu les tests de régression et renforcé les outils de surveillance. Flow travaille également avec des spécialistes en forensic et des forces de l’ordre, tout en s’engageant à renforcer les programmes de bug bounty et de sécurisation à l’avenir.

Contexte du marché

Flow a été lancé par Dapper Labs en 2019 pour soutenir les applications blockchain axées sur le consommateur, gagnant rapidement en popularité grâce à NBA Top Shot, ce qui a permis de faire monter le jeton FLOW au-dessus de $40 lors du boom NFT de 2021.

Le projet a levé environ $725 millions en 2022 auprès d’investisseurs, dont Andreessen Horowitz et Union Square Ventures, mais la dynamique a ralenti avec la baisse de l’activité NFT. Depuis, FLOW a chuté hors du top 300 des cryptomonnaies par capitalisation.