Perdre un CryptoPunk à cause d’un bug de contrat intelligent est le genre de chose qui empêche les détenteurs de NFT de dormir. Le récupérer, en revanche, est le genre de chose qui arrive presque jamais.
Yuga Labs a mené une opération de type « white-hat » le 8 juin, en récupérant 68 NFT d'une valeur supérieure à 500 000 $ auprès du Flooring Protocol après qu'une erreur comptable a exposé les piscines de liquidité de la plateforme à une exploitation. Parmi les actifs sauvés : deux CryptoPunks, 29 Bored Apes et quatre Mutant Apes.
Qu'est-ce qui s'est réellement mal passé
Le Flooring Protocol, une plateforme de fractionnement d'NFT, présentait une faille intégrée dans sa logique de comptabilité et de vérification de propriété. Un attaquant a découvert que ce bug lui permettait de créer des soldes fpToken quasi infinis, qui est le token interne du protocole utilisé pour représenter la propriété fractionnée d'NFT.
L'exploitation a permis de vider des montants de poussière de WETH des pools, une fuite lente qui aurait pu vidanger progressivement le protocole de ses actifs les plus précieux. L'architecte du Flooring Protocol, connu sous le nom de 0xFreeLunch, a assumé la responsabilité de cette vulnérabilité.
Yuga Labs a intervenu avant que les dégâts ne s'aggravent. L'entreprise a déployé un contrat de défense qui a efficacement reproduit les mécanismes de l'exploitation, utilisant le même bug pour transférer les NFTs de premier plan en sécurité avant que les acteurs malveillants ne puissent les réclamer.
L'opération de sauvetage, étape par étape
Le contrat défensif de Yuga a reproduit la méthode de l'attaquant, en émettant des fpTokens via la logique comptable défectueuse et en les utilisant pour extraire des NFTs de haute valeur des piscines exposées. L'opération a retiré au total 68 NFTs à travers plusieurs collections.
Deux CryptoPunks, 29 Bored Ape Yacht Club NFT et quatre Mutant Ape Yacht Club NFT ont constitué la partie la plus précieuse du butin. Les autres actifs comprenaient d'autres collections déposées dans les pools de fractionnement de Flooring Protocol.
Tous les NFT récupérés sont actuellement détenus par Yuga Labs. L'entreprise a déclaré qu'ils seront restitués à leurs propriétaires légitimes une fois la vulnérabilité du protocole corrigée.
Pourquoi cela importe au-delà d’un seul protocole
L'exploitation du Flooring Protocol soulève des questions sur la maturité de l'infrastructure DeFi axée sur les NFT. Les bogues comptables, notamment les erreurs dans la manière dont les protocoles suivent la propriété des jetons et l'autorité de création, font partie des catégories les plus élémentaires de vulnérabilités des contrats intelligents. Ce sont précisément ce type de problèmes que les audits complets sont conçus pour détecter avant le déploiement.
Pour Yuga Labs, la réponse a été remarquablement rapide et déterminée. L'entreprise a un intérêt financier et réputationnel direct à protéger les détenteurs de CryptoPunks et de Bored Apes, ayant acquis la propriété intellectuelle de CryptoPunks auprès de Larva Labs en 2022.