Attaque de fuite de clé privée de Syndicate Labs : environ 18,5 millions de SYND transférés, compensation complète promise aux utilisateurs

Le 1er mai, Syndicate Labs a révélé qu’une fuite de clé privée avait conduit à une mise à jour malveillante des contrats de ponts inter-chaînes sur deux chaînes, entraînant le transfert et la vente d’environ 18,5 millions de SYND (environ 330 000 dollars) et d’environ 50 000 dollars en jetons utilisateur. L’incident n’a affecté que certaines chaînes, d’autres restant indemnes. Syndicate Labs a déclaré que l’attaque impliquait une reconnaissance en plusieurs phases, une cartographie de l’infrastructure et une exécution méticuleuse, démontrant un haut niveau de complexité technique, tout en excluant une implication interne. La cause principale a été identifiée comme le stockage de la clé privée dans un outil de gestion de mots de passe sans couche de chiffrement supplémentaire, et le processus de mise à jour n’utilisant pas de mécanismes de signatures multi-signatures ou matérielles, ni de mesures d’alerte ou de coupe-circuit pour les mises à jour de contrat. Syndicate Labs a annoncé qu’il indemniserait intégralement tous les utilisateurs affectés, y compris le retour de 18,5 millions de SYND et une compensation supplémentaire, tout en offrant une indemnisation complète aux clients des chaînes d’application concernées. La société a lancé des mesures de mise à niveau de la sécurité, notamment en renforçant le chiffrement des clés privées, en resserrant les permissions d’accès, et prévoit d’introduire des mécanismes de signature matérielle ou multi-signatures ainsi qu’une surveillance des chemins de mise à niveau pour éviter que des incidents similaires ne se reproduisent à l’avenir.