Encore un pont qui s'est effondré. Cette fois, c'est Taiko @taikoxyz

Aujourd'hui, le projet Layer-2 d'Ethereum Taiko a suspendu son réseau, la raison étant une attaque contre la passerelle cross-chain, environ 1,7 million de dollars ont été volés, et le jeton a chuté en conséquence. La méthode n'est pas compliquée, l'attaquant a falsifié une preuve de retrait, faisant croire au système que ces retraits étaient légitimes, et a ainsi libéré des fonds qui n'auraient pas dû l'être.
Ce n'est pas une grosse somme. Ce qui me pousse vraiment à dire quelque chose, c'est cette faille dans la "falsification de preuve de retrait", qui est du même type que plusieurs des plus grandes attaques de ponts cross-chain cette année. Je vais d'abord poser les règles. Je ne cherche pas à accuser qui que ce soit, ni à prétendre que l'équipe Taiko a une quelconque malveillance subjective — une attaque ne signifie pas forcément une intention malveillante. Avant d'avoir des preuves concrètes, je me contente de rapporter les faits sur la chaîne, sans qualifier aucune équipe.
Ce compte peut toujours remettre en question, sans mettre de stéréotype. Mais la remise en question, c'est ce que je dois faire. Ce que je remets en question, ce n'est pas cette seule entité, mais un phénomène de plus en plus flagrant dans toute l'industrie : les ponts cross-chain, année après année, vidés à répétition par le même type de vulnérabilités. Les failles dans la logique de validation, les preuves falsifiées, les vérifications contournées, ce ne sont pas des attaques nouvelles ou inconnues, ce sont des vieux problèmes qui ont déjà été sanglants chez d'autres, et qui ont été maintes fois avertis.
Une fois qu'on tombe dedans, c'est une malchance ; mais si toute la filière tombe dans le même piège encore et encore, cela ne relève-t-il pas vraiment du "hasard" ? Chaque L2, chaque pont, raconte à peu près la même histoire : sécurité, garanties à l'échelle d'Ethereum, utilisation en toute confiance. Mais dès que de l'argent réel est en jeu, la chute est étonnamment similaire.
Je ne veux pas entendre leur phrase standard après coup : "Nous enquêtons, les fonds des utilisateurs seront traités de manière appropriée" — ce que je veux demander, c'est pourquoi, avant que l'argent des utilisateurs n'entre, ces failles qui auraient dû être bouchées depuis longtemps, que d'autres ont déjà foulées, sont encore ouvertes. Ce qui a été volé, c'est 1,7 million, mais ce qui est consommé encore et encore, c'est la question même de savoir si "les ponts cross-chain peuvent vraiment faire confiance". Ce n'est pas une erreur isolée, c'est une vieille dette que toute la filière n'a toujours pas réglée.