Chainalysis met en garde contre une faille critique dans la sécurité de la DeFi, alors qu'une faille de 292 millions de dollars contourne le processus de vérification de la destruction des jetons

• Chainalysis signale une faille dans KelpDAO qui met en évidence une défaillance critique dans les hypothèses de confiance inter-chaînes.
• L'analyse a montré que des failles de conception de Layerzero peuvent permettre à un seul validateur de contourner les mesures de sécurité DeFi.
• Les protocoles sont confrontés à des risques croissants, Chainalysis signalant que des défaillances cachées pourraient échapper à la détection.

Les failles des ponts inter-chaînes exposent les risques de sécurité de la DeFi

La société d'analyse blockchain Chainalysis a mis en évidence, le 20 avril, une faille de sécurité dans la finance décentralisée (DeFi) d'un montant de 292 millions de dollars, exposant des faiblesses critiques dans la conception des ponts inter-chaînes. L'incident impliquant l'infrastructure rsETH de KelpDAO a démontré comment des entrées manipulées peuvent contourner les systèmes de validation. Ce cas souligne les préoccupations croissantes concernant les hypothèses de confiance intégrées dans les protocoles multi-chaînes. Chainalysis a déclaré sur la plateforme de réseaux sociaux X :

« L'exploitation du pont KelpDAO / rsETH, d'un montant d'environ 292 millions de dollars, met en évidence un angle mort critique dans la sécurité de la DeFi. »

La société a expliqué que la faille provenait d’une couche de confiance défaillante plutôt que de contrats intelligents défectueux. Les attaquants ont ciblé l’infrastructure LayerZero soutenant KelpDAO, en exploitant un quorum de validateurs 1-sur-1. Cette configuration reposait sur un nombre limité de points de terminaison d’appel de procédure à distance, créant ainsi un point de défaillance unique. Une fois compromise, cette voie a permis des approbations non autorisées sans consensus plus large. Le fournisseur d'analyses a décrit comment le système a accepté des conditions manipulées comme valides, permettant ainsi à l'exploitation de se poursuivre sans être détectée par les mesures de sécurité standard.

Les défaillances récurrentes soulignent la nécessité d’une surveillance en temps réel

L'attaquant s'est infiltré dans les entrées de données du validateur en compromettant les points de terminaison RPC. Des informations erronées ont conduit le système à enregistrer un événement de destruction fictif sur la chaîne source. « Sur la base de cet état erroné, le pont a approuvé le message et a transféré 116 500 rsETH sur Ethereum à l'attaquant. En réalité, aucune destruction correspondante n'a jamais eu lieu. Les mesures de sécurité standard n’ont rien détecté, car les transactions se sont exécutées exactement comme prévu au niveau du code », a expliqué Chainalysis. Cette séquence a enfreint une invariante fondamentale du pont exigeant la parité entre les actifs brûlés et les jetons émis. Malgré une exécution correcte du code, le fait de s’appuyer sur l’intégrité des données externes a permis à l’exploit de réussir. Chainalysis a conclu par un avertissement plus général, déclarant :

« Cette attaque prouve que la détection de code malveillant ne suffit pas ; les protocoles doivent détecter quand un système entre dans un état impossible. »

La société a souligné la nécessité de disposer de systèmes de surveillance continue capables de valider la cohérence inter-chaînes en temps réel. Des outils tels que les frameworks de suivi des invariants peuvent identifier les divergences entre les actifs verrouillés et les fonds libérés. Ces mécanismes peuvent permettre aux protocoles d’interrompre leurs opérations avant que les pertes ne s’aggravent, renforçant ainsi l’importance de vérifier l’état global du système plutôt que de se fier uniquement aux audits de code.