Le 10 novembre 2024, un incident choquant s'est produit lorsqu'un utilisateur a perdu des jetons ezETH d'une valeur de 25 millions de dollars en raison de graves défauts dans la norme de jeton ERC-20. Cet événement a suscité une discussion significative sur la sécurité des contrats intelligents et les responsabilités des développeurs et des utilisateurs. L'expert en sécurité blockchain Dexaran met en garde contre ces problèmes depuis des années, et cette situation souligne l'urgence d'un changement dans l'industrie.
Points clés
-
Un utilisateur a perdu 25 millions de dollars en raison de défauts dans la norme de jeton ERC-20, et non à cause d'une erreur.
-
Dexaran a averti de ces vulnérabilités depuis 2017, mais aucune action n'a été entreprise pour les corriger.
-
La norme ERC-223 a été créée pour prévenir de telles pertes en rejetant les transactions incompatibles.
-
Ignorer les avertissements des experts a conduit à plus de 115 millions de dollars de pertes dans l'industrie.
-
Il est nécessaire d'améliorer les pratiques de sécurité et la responsabilité dans le développement blockchain.
Une erreur coûteuse : Que s'est-il passé avec 25 millions de dollars en jetons ezETH ?
Comprendre l'incident
Le 10 novembre 2024, un utilisateur connu sous le nom de @qklpjeth a fait une demande publique d'aide après avoir envoyé par erreur 7 912,311 jetons ezETH, d'une valeur d'environ 26 millions de dollars, à un contrat intelligent qui ne pouvait pas les traiter. Malgré l'offre d'une récompense de 10 % pour la récupération de ces jetons, les fonds restent bloqués et irrécupérables. Cet incident a suscité une discussion significative sur la responsabilité dans l'espace blockchain.
Que s'est-il passé ?
L'utilisateur avait acquis les jetons ezETH en avril 2024 et utilisait un portefeuille multisignature Gnosis Safe. Cependant, une erreur de transaction a conduit à l'envoi des jetons à un contrat intelligent Cobo Safe, qui n'était pas conçu pour gérer les transferts de jetons ERC-20. En conséquence, les fonds sont devenus irrécupérablement bloqués.
Pourquoi ce n'est pas une erreur de l'utilisateur
La norme de jeton ERC-20 manque de mécanismes intégrés pour prévenir les transactions incompatibles. Contrairement à d'autres normes de jetons, telles que l'ERC-223, les contrats ERC-20 ne rejettent pas les transactions qui ne peuvent pas être traitées. Ce défaut de conception signifie que les transactions peuvent entraîner des pertes irréversibles, mettant en évidence une vulnérabilité significative dans la norme ERC-20.
Perspectives d'expert : L'avertissement de Dexaran ignoré pendant 7 ans
Qui est Dexaran ?
Dexaran est une figure bien connue dans la communauté blockchain, reconnue pour ses contributions significatives à la sécurité et aux normes dans la technologie blockchain. Son travail comprend :
-
Créer la norme de jeton ERC-223 pour prévenir la perte de jetons lors des transactions.
-
Fonder la Blockchain Callisto & Dex223, qui se concentre sur la sécurité des contrats intelligents.
Les défauts de l'ERC-20 et la solution proposée
La norme de jeton ERC-20 présente des défauts critiques qui peuvent entraîner des pertes financières significatives. Ces problèmes incluent :
-
Absence de capacités de gestion des erreurs, ce qui peut entraîner des pertes irréversibles.
-
Incompatibilité avec certains contrats intelligents, entraînant des fonds bloqués.
-
Un historique de plus de 115 millions de dollars perdus depuis 2017 en raison de ces vulnérabilités.
La norme ERC-223 proposée aborde ces problèmes en permettant aux contrats intelligents de rejeter les transferts de jetons incompatibles, renforçant ainsi la sécurité.
Les avertissements de Dexaran soulignent un besoin crucial d'améliorer les mesures de sécurité dans la technologie blockchain. Sans s'attaquer à ces défauts, les utilisateurs restent exposés à des pertes évitables.
Une histoire d'avertissements ignorés
Efforts pour résoudre le problème
Dans les années suivant l'introduction de la norme de jeton ERC-20, de nombreux avertissements concernant ses vulnérabilités ont été soulevés, mais peu d'actions ont été entreprises. Dexaran, une figure clé de la sécurité blockchain, a d'abord alerté la Fondation Ethereum en 2017 sur ces problèmes. Malgré ses efforts, la norme ERC-223 proposée, qui aurait pu atténuer ces risques, a été ignorée. La chronologie suivante met en évidence les pertes significatives attribuées à ces vulnérabilités :
|
Année |
Pertes (en USD) |
|---|---|
|
2017 |
16 000 $ |
|
2018 |
2 000 000 $ |
|
2023 |
60 000 000 $ |
|
2024 |
115 000 000 $ |
Ces chiffres illustrent une tendance troublante de pertes financières répétées dues aux mêmes problèmes sous-jacents.
Un problème plus large dans l'industrie
Blâme mal placé
Blâmer les utilisateurs pour des incidents impliquant des contrats intelligents simplifie un problème complexe. La réalité est que :
-
La conception des contrats intelligents, plutôt que les actions des utilisateurs, est principalement responsable de ces pertes financières.
-
L'utilisation généralisée de la norme de jeton ERC-20 continue d'exposer des millions d'utilisateurs à des risques potentiels.
-
De nombreux utilisateurs manquent des connaissances techniques pour comprendre les subtilités des contrats intelligents, les rendant vulnérables aux défauts de conception.
Ce qui doit changer
Pour s'attaquer à ces problèmes persistants, plusieurs changements sont nécessaires :
-
Révisions des normes : Il est essentiel de reconnaître et de remplacer des normes défectueuses comme l'ERC-20 par des alternatives plus sécurisées.
-
Divulgations transparentes : La Fondation Ethereum devrait documenter et traiter activement les vulnérabilités connues dans les contrats intelligents.
-
Responsabilité de l'industrie : Les auditeurs et les développeurs doivent donner la priorité à la sécurité plutôt qu'à la commodité, en veillant à ce que tous les contrats intelligents soient rigoureusement testés avant leur déploiement.
Jusqu'à ce que l'industrie s'attaque collectivement à ces vulnérabilités, les utilisateurs continueront à faire face à des pertes évitables. Blâmer des individus, plutôt que de corriger les systèmes défectueux, perpétue le cycle de préjudice financier.
Dexaran appelle à l'action
Conclusion pour la communauté
Dexaran souligne l'urgence pour la communauté blockchain d'agir concernant les vulnérabilités des contrats intelligents. Ses réflexions mettent en évidence que sans changements significatifs, les utilisateurs continueront à souffrir de pertes évitables. Les points suivants résument son appel à l'action :
-
Adopter des normes sécurisées : L'industrie doit passer de normes obsolètes comme l'ERC-20 à des alternatives plus sécurisées telles que l'ERC-223.
-
Améliorer la transparence : La Fondation Ethereum devrait documenter et traiter ouvertement les vulnérabilités connues pour favoriser la confiance et la sécurité.
-
Prioriser la sécurité : Les développeurs et les auditeurs doivent se concentrer sur les mesures de sécurité plutôt que sur la commodité, en veillant à ce que les contrats intelligents soient conçus pour prévenir les erreurs.
Jusqu'à ce que l'industrie s'attaque collectivement à ces vulnérabilités, le cycle de préjudice financier persistera, affectant d'innombrables utilisateurs.
Conclusion : Un appel au changement dans les normes blockchain
En résumé, la perte de 25 millions de dollars en jetons ezETH met en évidence un défaut significatif dans la conception de la norme de jeton ERC-20 plutôt qu'une erreur commise par l'utilisateur. Cet incident sert de rappel que l'industrie blockchain doit donner la priorité à la sécurité dans ses protocoles. Des experts comme Dexaran ont longtemps mis en garde contre ces vulnérabilités, plaidant pour l'adoption de la norme ERC-223, qui offre une meilleure protection contre de tels problèmes. Il est crucial que la Fondation Ethereum et d'autres parties prenantes reconnaissent ces problèmes et prennent des mesures pour améliorer la sécurité des contrats intelligents. Sans s'attaquer à ces défauts fondamentaux, les utilisateurs continueront à souffrir de pertes évitables, et la réputation de l'industrie blockchain restera en danger.
Questions Fréquemment Posées
Que s'est-il passé avec les 25 millions de dollars en jetons ezETH ?
Un utilisateur a accidentellement envoyé 7 912,311 jetons ezETH, d'une valeur de 26 millions de dollars, à un contrat intelligent qui ne pouvait pas les accepter, entraînant une perte totale.
Pourquoi cet incident n'est-il pas considéré comme une erreur de l'utilisateur ?
Les experts estiment que le véritable problème réside dans les défauts de la norme de jeton ERC-20, qui manque de protections contre de telles erreurs.
Qui est Dexaran et quel est son rôle dans ce problème ?
Dexaran est un expert en sécurité blockchain qui a mis en garde contre les vulnérabilités de la norme ERC-20 pendant des années et a proposé une alternative plus sûre appelée ERC-223.
Quels sont les principaux défauts de la norme de jeton ERC-20 ?
Les jetons ERC-20 n'ont pas de gestion d'erreurs intégrée, ce qui peut entraîner des pertes lorsque des jetons sont envoyés à des contrats incompatibles.
Quelles modifications Dexaran suggère-t-il pour l'industrie ?
Dexaran appelle la communauté Ethereum à adopter de meilleures normes, comme l'ERC-223, et à prendre la sécurité plus au sérieux.
Comment les utilisateurs peuvent-ils se protéger contre des incidents similaires à l'avenir ?
Les utilisateurs doivent se tenir informés des normes de jetons et être prudents lors de l'envoi de jetons, en particulier à des contrats intelligents nouveaux ou inconnus.
Liens :
Problèmes ERC-20 : https://ethereum.org/en/developers/docs/standards/tokens/erc-20/#erc20-issues
Calculateur de pertes en direct ERC-20 : https://dexaran.github.io/erc20-losses
Documentation officielle ERC-223 publiée sur Ethereum : https://eips.ethereum.org/EIPS/eip-223
https://ethereum.org/en/developers/docs/standards/tokens/erc-223/
Page principale ERC-223 : https://dexaran.github.io/erc223/
Site web Dex223 (ERC-223 DEX) : https://dex223.io
Telegram : https://t.me/Dex223_defi
Youtube : https://www.youtube.com/@erc223
Reddit : https://www.reddit.com/r/Dex223
https://www.reddit.com/r/ERC223
Medium : https://dexaran820.medium.com/
Github : https://GitHub.com/Dexaran/Dex223-exchange
https://github.com/Dexaran/ERC223-token-standard
Sources :
https://medium.com/dex223/trader-loses-26m-in-ezeth-contract-e504595a45fb
https://x.com/Dexaran/status/1855991828912431332