Un pont Solana a perdu 4,5 M$ à cause d’un piratage. Chaque utilisateur a conservé 100 % de ses fonds.

Il s’agissait d’un pont utilisé pour des millions de dollars, et à aucun moment un seul dollar n’a été perdu par un seul utilisateur. Ce couple semble peu probable, mais il s’est produit sur la partie Solana du protocole Across le 17 juillet.

Voici ce qui s’est réellement produit. Un pirate a créé 1 627 faux wallets sur Solana et a effectué des dépôts falsifiés qui n’ont jamais été enregistrés sur la chaîne.

Ces dépôts falsifiés s’élevaient à environ 41,7 M$ et ont été émis pour effectuer des paiements vers 18 chaînes de destination différentes.

Avant que l’équipe ne remarque et ne désactive les opérations sur Solana, le relayer d’Across (la fondation Risk Labs) a honoré 581 de ces demandes frauduleuses.

Le montant brut du relayer était d’environ 4,5 M$. Environ 500 000 $ de l’argent de l’attaquant étaient bloqués dans l’escroquerie, ce qui ramenait la perte finale à moins de 4 M$.

L’aspect important pour les utilisateurs réels du pont : ce n’était pas leur argent.

Pour que les relayers avancent leur propre capital afin de régler instantanément dans un modèle basé sur l’intention, où ils seront remboursés plus tard sur la chaîne, cela se fait via des opérations en boucle. Si quelque chose échoue du côté du relayer, c’est le relayer qui supporte la perte. Pas la personne ayant initié le transfert.

Tous les transferts légitimes effectués par la suite ont également été traités et/ou remboursés. En quelques heures, les dépôts sur Solana ont été suspendus, puis rétablis en environ 45 minutes grâce à un routage de secours via le protocole de transfert interchaînes de Circle.

C’est un concept à garder à l’esprit la prochaine fois qu’un titre sur un pont sera qualifié de « catastrophique ». Le montant en dollars n’est pas aussi significatif que l’architecture.

Un piratage qui n’affecte que le trésor du protocole présente un risque différent d’un piratage qui affecte un pool commun de dépôts d’utilisateurs, même si les deux peuvent être rapportés de la même manière sur les réseaux sociaux.

Une analyse technique détaillée de la faille ayant conduit à cette défaillance n’a pas encore été achevée, et la récupération des fonds bloqués se poursuit.

Si vous pensez que l’argent des utilisateurs n’est pas en danger tant que l’architecte du pont est en danger, cela vous rend-il plus en sécurité ? Ou cela vous rend-il moins en sécurité si l’utilisateur perd de l’argent peu importe qui perd quoi ?

Ceci n’est pas un conseil financier.