10 incidents connus de sécurité DeFi et de ponts en 2021–2022

Ces dix incidents historiques illustrent différents risques de la DeFi, des ponts entre blockchains et des services de cryptoactifs. La DeFi, ou finance décentralisée, comprend notamment les échanges, les prêts et la fourniture de liquidité. La décentralisation ne garantit ni confidentialité, ni sécurité, ni rendement. Toutes les entreprises citées ne sont pas elles-mêmes des protocoles décentralisés.

La croissance a révélé des défauts dans les contrats, la gestion des clés, la gouvernance et les interfaces web. Cette sélection porte sur des incidents connus de 2021–2022, pas sur un classement actuel des plus grandes attaques. Les montants en dollars sont des estimations historiques : actifs volés, fonds exposés et pertes définitives sont des mesures distinctes.

1. Ronin Network — environ 625 millions de dollars

Le pont Ronin a été attaqué le 23 mars 2022 ; la découverte a été annoncée le 29 mars. Sa valorisation historique avoisinait 625 millions de dollars. Le pont reliait Ronin à Ethereum et servait notamment aux actifs des joueurs d’Axie Infinity.

Dans Axie Infinity, les joueurs collectionnent, élèvent et font combattre des créatures numériques. Leurs caractéristiques peuvent influencer leur rareté, mais ne garantissent ni récompenses ni valeur marchande.

L’attaquant a contrôlé les pouvoirs de cinq des neuf validateurs et signé des retraits illicites de 173 600 ETH et 25,5 millions d’USDC. Sky Mavis a ensuite remplacé les fonds des utilisateurs, ce qui diffère de récupérer le butin. En septembre 2022, Chainalysis a annoncé que plus de 30 millions de dollars des actifs volés avaient été saisis. Il était donc faux d’affirmer que rien n’avait été retrouvé.

2. Poly Network — environ 610 millions de dollars

Le 10 août 2021, environ 610 millions de dollars ont été soustraits à Poly Network sur Ethereum, BNB Smart Chain et Polygon. L’analyse technique de SlowMist a montré un détournement des appels entre contrats permettant de remplacer le keeper de confiance. Ce n’était pas un vol des clés privées de validateurs comme chez Ronin.

Pendant la récupération, un important solde est resté temporairement dans un portefeuille multisignature nécessitant la coopération du projet et de l’attaquant. Poly Network a proposé 500 000 dollars et évoqué l’absence de poursuites, sans pouvoir garantir d’immunité vis-à-vis des autorités. L’affirmation selon laquelle 268 millions restaient bloqués ne décrivait pas le dénouement.

Le 23 août, Poly Network a annoncé que le contrôle des actifs restants avait été rétabli. Tether a également transféré environ 33,43 millions d’USDT gelés au portefeuille désigné le 25 août. Le 26 août, le projet a annoncé la récupération de tous les actifs concernés. Les 33 millions n’avaient donc pas simplement disparu. L’attaquant a affirmé avoir agi pour le plaisir ; c’était sa propre explication.

3. Wormhole Bridge — environ 325 millions de dollars

Wormhole transmet des messages et des tokens entre blockchains. Un token enveloppé représente des actifs sur une autre chaîne et dépend de vérifications correctes et d’une couverture suffisante.

Lors de cet incident du 2 février 2022, la vérification du côté Solana a été contournée. L’attaquant a créé 120 000 wETH sans couverture, pas seulement 93 750. Parmi eux, 93 750 ont été échangés via le pont contre des ETH sur Ethereum. Jump Crypto a fourni 120 000 ETH pour reconstituer les réserves ; ce n’était pas une restitution par l’attaquant.

4. Nomad Bridge — environ 186–190 millions de dollars

Le 1er août 2022, une modification contractuelle de Nomad avait laissé une faille d’authentification acceptant des messages invalides. Les retraits ne nécessitaient pas de dépôt correspondant. Il ne s’agissait pas d’une nouvelle possibilité de prêt créée par les attaquants.

La méthode était facile à reproduire. Nomad a signalé plus de 300 adresses participantes et publié des données d’adresses et de transactions pour l’enquête. Les adresses ne correspondent pas nécessairement à des personnes distinctes. L’équipe a demandé des restitutions et créé un portefeuille de récupération et un programme de récompenses.

Le 17 août 2022, Nomad a annoncé le retour de plus de 37 millions de dollars, soit environ 20 %. Cette donnée datée est plus précise qu’une affirmation indéfinie sur plus de 30 millions restitués et tout le reste encore disparu. Les restitutions volontaires ont accompagné la poursuite des enquêtes.

5. Beanstalk Farms — environ 182 millions d’impact, 77 millions d’actifs hors Bean volés

Beanstalk est un protocole de stablecoin fondé sur le crédit. Le cours cible de Bean devait être soutenu par des incitations aux prêteurs, pas par une réserve habituelle d’un dollar par token. Les stablecoins algorithmiques ont des modèles différents et n’utilisent pas tous les mêmes réserves numériques.

Le 17 avril 2022, l’attaquant a utilisé un prêt éclair pour obtenir assez de votes et exécuter une proposition malveillante transférant les actifs du protocole. L’impact souvent cité d’environ 182 millions de dollars n’était pas son gain net. Beanstalk a annoncé le vol d’environ 77 millions de dollars d’actifs autres que Bean.

Un transfert plus faible, d’environ 250 000 dollars, est allé à une adresse de dons pour l’Ukraine. Il était faux que l’attaquant ait conservé environ 70 millions et donné aux réfugiés tout le reste des 182 millions. Les remboursements de prêts éclair et la différence entre impact brut et gain net ne constituaient pas un immense don caritatif.

6. Wintermute — environ 160 millions de dollars

Wintermute est un teneur de marché de cryptoactifs. Le 20 septembre 2022, environ 160 millions de dollars ont été volés dans ses activités DeFi. L’incident a été associé à une adresse personnalisée générée avec Profanity et à une faiblesse de génération des clés. Vanity wallet n’était pas le nom d’un produit de conservation pour tous les clients.

Conserver les clés hors ligne peut limiter l’exposition aux attaques en ligne, par exemple par une séparation physique du réseau. Mais le stockage à froid ne corrige pas toutes les erreurs contractuelles ou autorisations malveillantes de tokens. Une génération sûre des clés, des privilèges limités et une gestion rigoureuse des portefeuilles opérationnels restent nécessaires.

7. Compound — distribution erronée de COMP, pas une perte nette prouvée de 150 millions

Compound est un protocole de prêt qui a continué après l’incident. Le 29 septembre 2021, la proposition 62 a introduit une erreur dans le calcul des récompenses COMP. Le défaut, parfois comparé à un robinet qui fuit, distribuait trop de COMP existants ; il ne créait pas de nouveaux tokens sans limite.

Les 280 000 COMP initialement cités étaient des récompenses disponibles dans le contrat Comptroller, pas un pool créé par des pirates. D’autres COMP pouvaient ensuite arriver du Reservoir. La correction nécessitait des propositions de gouvernance et des délais et ne pouvait donc pas être immédiate.

Le 14 octobre, Compound a déclaré que 163 000 COMP réclamés à tort avaient été restitués, que 130 000 étaient restés dans Comptroller et qu’environ 200 000 distribués par erreur étaient encore à l’extérieur. La proposition 64 a corrigé la faille le 8 octobre ; une suite était nécessaire pour les ajustements comptables restants. Le problème concernait les récompenses, pas un vol documenté de 150 millions dans les dépôts. Les chiffres ne prouvent pas non plus la récupération de plus de la moitié d’un total fixe.

8. Vulcan Forged — environ 140 millions de dollars

L’attaque de décembre 2021 contre Vulcan Forged a touché des portefeuilles de joueurs. La plateforme propose des jeux blockchain et une place de marché NFT. Utiliser les tokens dans d’autres applications ne garantit pas de meilleurs rendements.

Selon Venly, des serveurs de Vulcan Forged ont été compromis et des PIN et identifiants de l’entreprise détournés pour exporter au moins 96 portefeuilles. Venly a déclaré que ses propres serveurs n’avaient pas été piratés. Les PYR volés étaient alors évalués à environ 140 millions de dollars. Le 13 décembre, Venly a annoncé que Vulcan Forged avait remboursé la majorité sur sa trésorerie, pas que tous les dommages avaient été immédiatement couverts.

9. BadgerDAO — environ 120 millions de dollars

L’attaque du 2 décembre 2021 a entraîné des pertes alors estimées à environ 120 millions de dollars, notamment en tokens liés à Bitcoin et en ETH. La liste originale citait environ 2 100 BTC et 151 ETH. Le montant Bitcoin représentait des tokens ou une valeur en bitcoin, pas des BTC natifs dans un contrat Ethereum. BadgerDAO proposait des produits DeFi orientés Bitcoin ; l’interface web a été attaquée.

Du code malveillant a poussé les utilisateurs à signer des autorisations de tokens indésirables. Le rapport technique décrivait le détournement d’une clé API Cloudflare de l’environnement Badger, pas une intrusion prouvée dans toute l’entreprise Cloudflare. Par la suite, le site du projet a décrit l’arrêt de produits vault existants. C’était un changement distinct, pas la preuve que tous les contrats avaient cessé pendant l’attaque.

10. Horizon Bridge — environ 100 millions de dollars

L’attaque du pont Horizon a eu lieu le 23 juin 2022 et a été annoncée le 24 juin. Environ 100 millions de dollars ont été volés du côté Ethereum. Harmony a limité les opérations et lancé une enquête avec des partenaires de sécurité et les autorités.

Des clés privées compromises ont permis des signatures non autorisées. Le seuil initial était deux signataires sur cinq, pas deux sur quatre. Harmony a ensuite annoncé un relèvement à quatre sur cinq. Des inquiétudes concernant le seuil bas avaient déjà été exprimées publiquement avant l’attaque. La sécurité multisignature dépend du seuil et d’une gestion indépendante et sûre des clés.

Leçons des incidents

Une technologie nouvelle n’élimine pas les escroqueries et les attaques. Ces cas révèlent des faiblesses différentes dans la gouvernance avec des votes acquis par emprunt, la logique contractuelle, les clés et les interfaces web. Enquêtes et récupération peuvent aider, mais une attaque passée ne garantit ni prévention ailleurs ni indemnisation des victimes.