Ethereum'stablecoin' Bean passe de 1 $ à 19 cents après un énième exploit de code
Le stablecoin « Bean », basé sur Ethereum, de la plate-forme Beanstalk Farms DeFi, s’est avéré pas si stable cette semaine. Un attaquant a exploité le code d’un contrat de prêt flash pour siphonner une valeur d’environ 182 $, dont 24 830 ETH et le reste en valeur, des dommages au protocole lui-même.
Bean, selon le livre blanc de Beanstalk Farms, « est un stablecoin décentralisé basé sur le crédit » qui (en théorie) stabilise sa valeur en utilisant un mécanisme complexe impliquant des oracles de prix en chaîne et un échange régulier du jeton en fonction de l’offre et de la demande, couplé à une facilité de crédit décentralisée. Il décrit Bean comme un stablecoin de nouvelle génération ou qui ne nécessite pas de réserves de garantie d’un actif du monde réel pour maintenir une valeur autour du point de son ancrage.
Si l’exploiteur est ouvert à la discussion https://t.co/fwceVz6hbi
L’attaque a eu lieu le 17 avril 2022 et a vu la valeur du jeton Bean chuter de plus de 80 % (0,19 $ au moment de la publication). Et ce malgré la valeur apparente du jeton stable à 1 $ et la promesse que les contrats exécutés sur le protocole Beanstalk Farms avaient été audités par la société de sécurité blockchain Omniscia.
Dans un examen de l’incident, Omniscia a noté qu’il n’avait pas examiné le code spécifique exploité par l’attaquant, « car il a été introduit au-delà de nos audits initiaux du système ». La société a expliqué que lorsqu’un utilisateur dépose des fonds dans l’un des « silos » de Beanstalk, il est crédité de récompenses Stalk et Seed (actifs distincts faisant partie du système) et peut ensuite utiliser les jetons pour voter dans le système de gouvernance du protocole.
L’attaquant a pu exploiter une vulnérabilité dans le code en trompant le mécanisme du calculateur de prix en lui faisant croire qu’un seul pouvoir de vote comptait en fait plusieurs fois. Cela leur a donné un pouvoir de vote à la super-majorité, leur permettant finalement de retirer des fonds qui n’auraient pas dû leur être accordés.
Le processus suivi par l’attaquant est compliqué et implique probablement une connaissance détaillée du système pour manipuler les différents jetons, mécanismes et protocoles afin de produire le résultat final. Compte tenu de cela, les utilisateurs mécontents de Beanstalk se sont tournés vers Twitter en se demandant s’il s’agissait peut-être d’un travail interne.
J’ai 250 000 $ dans ce shitshow
Que d’exploits ces derniers temps. Je ne peux plus faire confiance aux projets defi.
exploit fait partie de defi
Beanstalk Farms a lancé un appel public à des experts en sécurité pour aider le projet à enquêter sur l’exploit, donc on ne sait pas si l’accusation de « travail interne » est vraie ou non. Pendant ce temps, des rapports ont indiqué que 80 millions de dollars d’actifs numériques avaient déjà transité par Tornado Cash, un mélangeur de pièces. Tornado Cash, qui « anonymise » les actifs numériques en combinant les détails de plusieurs transactions, a été utilisé pour blanchir des fonds provenant d’autres exploits Ethereum dans le passé, tels que l’exploit Harvest Protocol d’octobre 2020 et un bug du client Geth qui a brièvement forgé l’Ethereum chaîne en septembre 2021.
Bien que l’exploit et la perte se soient produits sur une plate-forme développée par un tiers plutôt que sur le protocole Ethereum lui-même, la popularité d’Ethereum au fil des ans l’a rendu populaire pour les expériences de «finance décentralisée» (DeFi), qui sont devenues les principales cibles des pirates.
La quête pour créer un nouveau système financier décentralisé et donc «résistant à la censure» a vu l’émergence de plusieurs nouveaux modèles et systèmes. Malgré les promesses de sécurité, d’auditabilité et de responsabilité, peu utilisent des processus qui ont été testés sur une longue période. Leurs réseaux complexes, leurs combinaisons d’actifs symboliques et de couches servant à des fins différentes, et la capacité de « mélanger » et d’échanger des gains mal acquis sont une trop grande tentation pour les mauvais acteurs.
Les plates-formes DeFi, malgré toutes leurs promesses et, comme beaucoup d’activités dans le monde de la blockchain au sens large, servent principalement à stimuler les échanges de prix spéculatifs plutôt qu’à créer de la valeur dans le monde réel. Les utilisateurs se concentrent principalement sur les gains à court terme. Selon le créateur de Bitcoin, le Dr Craig S. Wright, c’est un environnement qui ne crée aucune incitation à créer des entreprises stables à long terme ou à agir de manière responsable.
Blockstream, ShapeShift, Coinbase, Ripple,
Ethereum, FTX et Tether, qui ont coopté la révolution des actifs numériques et transformé l’industrie en un champ de mines pour les acteurs naïfs (et même expérimentés) du marché.
le guide de ressources ultime pour en savoir plus sur Bitcoin – tel qu’envisagé à l’origine par Satoshi Nakamoto – et la blockchain.
