Le protocole 402bridge a été victime d'un incident de sécurité majeur, entraînant la perte de plus de 17 000 USDC. La brèche, survenue le 27 octobre, a compromis plus d'une douzaine de portefeuilles de l'équipe en raison d'une fuite de clé privée. Cet événement met en évidence les défis de sécurité persistants au sein de l'écosystème des ponts inter-chaînes.
Points clés à retenir
-
Montant de la perte : Plus de 17 693 USDC ont été volés.
-
Cause : Une fuite de clé privée a entraîné la compromission de plusieurs portefeuilles et d'un contrat intelligent.
-
Vecteur d'attaque : Un attaquant a exploité une vulnérabilité d'"autorisation excessive", changeant le propriétaire du contrat intelligent et transférant les fonds des utilisateurs.
-
Actions de l'attaquant : Les USDC volés ont été convertis en 4,2 ETH et déplacés vers le réseau Arbitrum.
-
Recommandations : Il est conseillé aux utilisateurs de révoquer l'autorisation du contrat intelligent compromis.
-
Enquête : Les forces de l'ordre ont été informées et une enquête interne est en cours.
L'incident se déroule
Le 27 octobre, un pirate informatique inconnu a ciblé le protocole inter-chaînes 402bridge, réussissant à voler environ 17 693 USDC. La brèche a été attribuée à une fuite de clé privée, qui a ensuite compromis plus d'une douzaine de portefeuilles de test et principaux de l'équipe. Des experts en sécurité de GoPlus ont identifié la cause profonde comme une "autorisation excessive" avant l'émission de la pièce. L'attaquant a réussi à changer le propriétaire du contrat intelligent compromis et a utilisé la méthode transferUserToken pour distribuer l'excédent d'USDC à plus de 200 portefeuilles d'utilisateurs. Par la suite, l'attaquant a siphonné les stablecoins, les a convertis en 4,2 ETH et a transféré les fonds vers le réseau Arbitrum.
Comprendre la vulnérabilité
Le mécanisme du protocole 402bridge exige que les utilisateurs signent ou approuvent des transactions via une interface web, qui sont ensuite envoyées à un serveur interne. Ce serveur extrait les fonds et émet les pièces. L'équipe de 402bridge a expliqué que pour faciliter ce processus, la clé privée doit être stockée sur le serveur, la rendant accessible en ligne. Une fuite de cette clé pourrait accorder à un attaquant des privilèges administratifs, lui permettant de rediriger les fonds des utilisateurs et d'exécuter une telle attaque.
Implications plus larges et débat dans l'industrie
Cet incident marque le premier vol public de fonds associé au protocole x402, un outil de paiement en ligne conçu pour les transactions en stablecoins et permettant des transactions autonomes pour les agents d'IA. L'attaque intervient également dans un contexte de débat plus large sur la sécurité des solutions de mise à l'échelle de couche 2 (L2). Peu avant l'incident de 402bridge, un différend a éclaté entre le chercheur en crypto Gabriel Shapiro et le co-fondateur de Solana Anatoly Yakovenko concernant la sécurité des L2. Yakovenko a soutenu que les L2 actuels sont vulnérables en raison de multisigs autorisés qui peuvent modifier les contrats de pont sans notification aux utilisateurs, contrastant cela avec les validateurs de Solana. Shapiro a rétorqué que les L2 comme ZKsync disposent de garanties juridiques et de gouvernance, bien que Yakovenko ait maintenu que les constructions juridiques n'éliminent pas les risques techniques. Des experts de Global Ledger ont précédemment identifié les ponts inter-chaînes comme un outil principal pour les pirates informatiques afin de blanchir des fonds volés, soulignant la rapidité du retrait des fonds après le piratage comme un problème majeur dans l'industrie.
Sources
-
Le protocole 402bridge a subi une perte de plus de 17 000 USDC, ForkLog.
-
Une faille de sécurité chez 402bridge a entraîné la perte d'USDC pour plus de 200 utilisateurs, Blockchain News
-
Exploitation de 402bridge : fuite de clés privées d'une valeur de 17 000 $ en pleine recrudescence des attaques x402, The Crypto Times
Cet article a été créé avec le soutien d'une technologie alimentée par l'IA, en s'appuyant sur plusieurs sources réputées. Le contenu final a été soigneusement examiné et édité par l'équipe éditoriale de BlockzHub afin de garantir précision, clarté et cohérence. Les sources d'information originales sont créditées lorsque cela est approprié et requis. Les opinions exprimées dans cet article ne reflètent pas nécessairement les points de vue ou les positions officielles de BlockzHub. Cet article est uniquement destiné à des fins informatives et ne doit pas être considéré comme un conseil financier ou professionnel. Investir comporte des risques, et il est recommandé de consulter un conseiller financier qualifié avant de prendre toute décision d’investissement.