Attaque contre Horizon en juin 2022 : Harmony annonce environ 100 millions de dollars de pertes

Harmony, plateforme blockchain destinée au développement et à l’utilisation d’applications décentralisées, a annoncé le vol d’environ 100 millions de dollars de cryptoactifs lors d’une attaque contre le pont Horizon le 23 juin 2022. Ce montant représentait la valeur estimée en dollars des actifs dérobés, et non l’équivalent de 1 148,63 ETH. Cet article présente les premières informations du 24 juin.

Harmony a ouvert une enquête

Peu après l’incident, Harmony a prévenu les autorités compétentes et rendu l’attaque publique. L’équipe a déclaré avoir engagé une enquête avec les autorités et des spécialistes de l’investigation numérique pour identifier le responsable et, si possible, récupérer les fonds volés.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Après la première annonce, Harmony a publié l’adresse Ethereum commençant par 0x que l’équipe avait identifiée comme utilisée dans l’attaque. Elle l’a également partagée dans le communiqué suivant.

https://twitter.com/harmonyprotocol/status/1540110926937894913

L’article original indiquait un solde de 85 867,25322706327167346 ETH à cette adresse. Il s’agissait d’un relevé des premières heures, pas du solde actuel ni du préjudice total.

Harmony a déclaré que le pont BTC exploité séparément, conçu pour limiter la nécessité de faire confiance à des intermédiaires, n’avait pas été touché. Selon les déclarations de l’équipe à l’époque, les actifs de ce pont et des coffres décentralisés étaient intacts. Ce n’était pas une garantie générale de sécurité pour tous les actifs des ponts.

L’équipe a également averti les plateformes d’échange et suspendu temporairement Horizon pour empêcher de nouveaux transferts. L’enquête se poursuivait : ni la cause précise ni la date de réouverture n’étaient établies. Le projet a déclaré : « Toute l’équipe est mobilisée pendant que l’enquête se poursuit. »

Harmony a promis de continuer à informer la communauté des nouvelles conclusions de l’enquête.

Les inquiétudes sur la sécurité des ponts reviennent au premier plan

L’incident a remis en lumière les préoccupations antérieures de la communauté concernant la structure des signatures. Le dispositif multisignature deux sur quatre exigeait l’approbation de deux des quatre clés de signature, et non de deux systèmes multisignatures distincts sur quatre. Ape Dev, fondateur du fonds de capital-risque de Chainstride Capital consacré aux cryptoactifs, avait averti début avril 2022 que le faible nombre de signataires requis pouvait rendre le pont vulnérable. Cette inquiétude ne démontrait pas la méthode exacte de l’intrusion à ce stade initial de l’enquête.

https://twitter.com/_apedev/status/1510007665400950791

Vitalik Buterin, d’Ethereum, avait aussi discuté en janvier 2022 des risques de sécurité des ponts entre blockchains et de leur possible propagation à d’autres chaînes. Il s’agissait d’une préoccupation générale sur la conception des ponts, pas d’un diagnostic selon lequel tous seraient attaqués de la même manière ni d’une confirmation de la cause de cet incident.

https://twitter.com/VitalikButerin/status/1479501366192132099

Parmi les jetons signalés comme volés dans les premières informations figuraient Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC) et Tether (USDT).

L’article original faisait état de onze transactions entre 7 h 08 et 7 h 26, heure de la côte est des États-Unis. Cette plage horaire et ce décompte appartenaient aux premiers comptes rendus, pas à une analyse définitive de tous les mouvements de fonds. Selon le récit, les jetons ont été envoyés vers différents portefeuilles, échangés contre de l’ETH sur la plateforme décentralisée Uniswap, basée sur Ethereum, puis regroupés à l’adresse de l’attaquant.

Horizon permettait les transferts d’actifs entre Harmony, Ethereum et Binance Smart Chain. Le pont Bitcoin était un système distinct et doit être différencié d’Horizon dans la description de l’incident. Harmony exploitait Horizon.

Pour en savoir plus, consultez notre guide d’investissement dans Harmony.