.jpeg)
La récente mise à niveau Pectra sur le testnet Sepolia a rencontré des problèmes significatifs en raison d'un attaquant inconnu exploitant une vulnérabilité. Cet incident a soulevé des inquiétudes parmi les développeurs d'Ethereum concernant la sécurité du processus de mise à niveau et les implications pour les développements futurs.
Points clés
-
La mise à niveau Pectra a été lancée le 5 mars 2025 à 7h29.
-
Un attaquant a exploité un cas particulier, entraînant le minage de blocs vides.
-
Les développeurs ont mis en œuvre un correctif privé pour atténuer le problème sans le rendre public.
-
L'incident a été isolé au testnet Sepolia, n'affectant pas le mainnet.
Vue d'ensemble de l'incident
Le 5 mars 2025, l'équipe de développement d'Ethereum a déployé la mise à niveau Pectra sur le testnet Sepolia. Cependant, quelques jours plus tard, le développeur Marius van der Wijden a signalé que la mise à niveau était entachée d'erreurs, principalement en raison du contrat de dépôt déclenchant des événements incorrects. Cela a conduit au minage de blocs vides, ce qui a gravement perturbé la fonctionnalité du réseau.
L'erreur initiale a été retracée au contrat de dépôt, qui a déclenché par erreur un événement de transfert au lieu d'un événement de dépôt. Cette mauvaise configuration a permis à un attaquant inconnu d'exploiter la situation en envoyant un transfert de zéro-token à l'adresse de dépôt, provoquant la récurrence de la même erreur.
Détails de l'attaque
-
Méthode d'exploitation : L'attaquant a utilisé la norme ERC-20, qui permet des transferts de zéro-token, pour envoyer des transactions depuis un compte nouvellement financé.
-
Impact : L'attaque a entraîné un nombre significatif de blocs vides minés, ce qui a entravé les performances du réseau.
-
Réponse des développeurs : L'équipe a d'abord soupçonné une erreur de la part de validateurs de confiance, mais a rapidement identifié l'origine de la transaction comme étant un compte externe.
Efforts d'atténuation
En réponse à l'attaque, l'équipe de développement a pris des mesures immédiates :
-
Déploiement d'un correctif privé : Un correctif a été créé pour filtrer les transactions interagissant avec le contrat de dépôt. Ce correctif a été déployé sur un nombre restreint de nœuds DevOps pour prévenir toute exploitation supplémentaire.
-
Mises à jour contrôlées : Les développeurs ont choisi de ne pas rendre le correctif public, soupçonnant que l'attaquant pourrait surveiller leurs communications. Au lieu de cela, ils ont mis à jour uniquement les nœuds qu'ils contrôlaient pour stabiliser le réseau.
-
Résolution réussie : À 14 heures le même jour, tous les nœuds avaient été mis à jour, et la transaction problématique a été minée avec succès, restaurant les opérations normales.
Implications futures
Malgré les défis rencontrés lors de la mise à niveau Pectra, l'équipe d'Ethereum a confirmé que le mainnet était resté intact et que la finalisation n'avait jamais été perdue pendant l'incident. Cependant, les développeurs ont décidé de reporter la mise à niveau Pectra jusqu'à ce que des tests supplémentaires puissent être effectués pour garantir la robustesse du système.
Cet incident met en lumière les défis de sécurité persistants au sein de la technologie blockchain et l'importance de processus de test et de validation rigoureux avant de déployer des mises à niveau. Alors qu'Ethereum continue d'évoluer, le maintien de l'intégrité et de la sécurité de ses réseaux sera primordial pour son succès et la confiance des utilisateurs.