Monad co-fondeur publie une liste de contrôle de 10 points pour la vérification de la sécurité des protocoles, soulignant les risques clés liés à la multi-signature et à la gestion des permissions

Actualités ME : Message, le 3 avril (UTC+8). Le cofondateur de Monad, Keone Hon, a publié sur la plateforme X une checklist d’auto-contrôle de la sécurité du protocole, portant principalement sur des questions clés telles que les permissions de gestion, la sécurité des fonds et la conception des mécanismes de multi-sig. Elle comprend essentiellement dix points : 1、 préciser quelles fonctions d’administrateur peuvent entraîner une perte de fonds ; 2、 s’assurer que les opérations concernées sont toutes configurées avec un timelock ; 3、 mettre en place un mécanisme de surveillance en temps réel ; 4、 déclencher une alerte rapide lorsque des fonctions d’administrateur sont appelées ; 5、 recenser tous les comptes à privilèges et adopter autant que possible une structure multi-sig (k-of-n) ; 6、 préciser les paramètres du seuil de signature ; 7、 les signataires multi-sig doivent utiliser des équipements froids indépendants uniquement pour les opérations de signature et suivre les meilleures pratiques (comme une vérification indépendante du hash de la transaction) ; 8、 appliquer une limitation du taux de retrait et éviter qu’il soit contrôlé par un même multi-sig ; 9、 s’assurer que les appareils des employés disposent de capacités de détection et de gestion des logiciels malveillants ; 10、 prévoir des scénarios extrêmes où les signataires du multi-sig sont compromis, reconstituer des parcours d’attaque potentiels à partir de la perspective de l’attaquant, puis optimiser la conception du système en conséquence, afin d’augmenter les coûts et la complexité de l’attaque.

Dans un message précédent, une semaine avant l’attaque informatique de 285 millions de dollars subie par Drift Protocol, le protocole a ajusté le mécanisme de multi-sig en le passant à « 2/5 » (1 ancien signataire + 4 nouveaux signataires) et n’a pas configuré de timelock : l’attaquant a ensuite obtenu des privilèges administrateur, a forgé des jetons CVT, a manipulé l’oracle, a désactivé les mécanismes de sécurité et a transféré des actifs de grande valeur depuis le pool de fonds. (Source : PANews)