THORChain a suspendu les activités de trading et de signature après qu'un de ses coffres Asgard ait été compromis dans une exploitation ayant vidé environ 10,7 à 10,8 millions de dollars. Selon les déclarations du protocole et des chercheurs en sécurité.
Dans une annonce publiée le 15 mai, THORChain a déclaré que le réseau a automatiquement détecté une activité anormale et suspendu les opérations de signature pour empêcher des transactions sortantes supplémentaires.
Le protocole a dit :
- l'un des six coffres Asgard semble avoir été compromis,
- l'activité de désabonnement a été suspendue,
- et les opérateurs de nœuds ont été invités à examiner l'infrastructure, les systèmes de gestion des clés et la sécurité opérationnelle à la recherche de signes de compromission.
THORChain a ajouté que les premiers indicateurs suggèrent que les fonds des utilisateurs n'ont pas été directement affectés et que les pertes semblent limitées aux fonds détenus par le protocole.
Le CTO de Ledger signale une vulnérabilité possible dans le TSS
Charles Guillemet a suggéré que l'incident pourrait être lié à une faiblesse de l'infrastructure du schéma de signature seuil [TSS].
En se référant aux commentaires du contributeur de THORChain JP Thor, Guillemet a déclaré que l'exploitation « pourrait être une exploitation MPC » impliquant GG20. Il s'agit d'un protocole de signature seuil utilisé dans certains systèmes de wallet à calcul multipartite [MPC].
Les coffres de THORChain reposent sur TSS, un système cryptographique conçu pour permettre à plusieurs nœuds de produire conjointement des signatures sans reconstruire la clé privée complète en un seul endroit.
Cependant, Guillemet a noté que les protocoles de la famille GG18/GG20 ont historiquement fait face à des vulnérabilités critiques, notamment :
- CVE-2023-33241,
- et TSSHOCK.
Il a soutenu que dans certains scénarios d'attaque précédemment documentés, un seul co-signataire compromis pouvait reconstituer suffisamment d'informations pour récupérer la clé de signature complète.
Les attaques assistées par l'IA pourraient modifier les hypothèses de sécurité des validateurs
L'une des parties les plus notables de l'analyse de Guillemet s'est concentrée sur l'intelligence artificielle et la sécurité des infrastructures.
Il a averti que les progrès dans la découverte de vulnérabilités et la génération d'exploits assistées par les LLM pourraient réduire la difficulté de compromettre l'infrastructure des validateurs, auparavant considérée comme difficile à attaquer.
Selon Guillemet, un scénario d'attaque potentiel pourrait impliquer :
- compromettre un validateur,
- en attente qu'il rejoigne un coffre actif,
- exploiter des preuves de signature mal formées lors de la génération de clés ou de la signature,
- et la reconstruction des clés de coffre hors ligne.
Dans le même temps, il a mis en garde contre le fait que la cause racine exacte de l'exploitation reste incertaine et a indiqué que les enquêteurs n'ont pas encore confirmé si une faille connue du GG20 ou une faille précédemment inconnue était impliquée.
L'enquête reste en cours
Les contributeurs de THORChain ont déclaré que l'enquête est toujours en cours et que de nouvelles mises à jour seront publiées au fur et à mesure que les efforts de correction se poursuivent.
L'incident ajoute à une surveillance croissante des hypothèses de sécurité sous-jacentes aux infrastructures MPC et TSS, de plus en plus utilisées dans les protocoles cross-chain, les systèmes de custody et l'infrastructure crypto institutionnelle.
Résumé final
- THORChain a suspendu les échanges après une exploitation de coffre qui a vidé environ 10,8 millions de dollars des fonds détenus par le protocole.
- Les chercheurs en sécurité et le CTO de Ledger, Charles Guillemet, ont déclaré que l'incident pourrait impliquer des faiblesses liées à l'infrastructure de signature MPC/TSS.