Un pirate informatique obtient une prime de 2 millions de dollars après avoir repéré une faille fatale dans le cumul d’Ethereum

Un hacker s’est emparé de 2 millions de dollars en prime de bogue après avoir découvert une vulnérabilité alarmante sur le réseau Ethereum. Ce bogue aurait pu être très grave s’il avait été découvert par des hackers black hat qui auraient pu exploiter l’actif numérique pour des milliards de dollars d’ETH. Au lieu de cela, un hacker « chapeau gris » connu sous le nom de Saurik a informé l’équipe d’Ethereum de la vulnérabilité, se récoltant une récompense non négligeable en retour.

Trouver la vulnérabilité sur Ethereum

Hacker Saurik avait trouvé la vulnérabilité sur Optimism, une solution de cumul Ethereum de couche 2. Le pirate lui-même a publié un rapport expliquant comment il a découvert la vulnérabilité de la solution. En parcourant les protocoles de nano-paiements sur le rollup, il avait trouvé une vulnérabilité qui pourrait permettre à un attaquant de retirer sans restriction une quantité « virtuellement illimitée » d’ETH de la solution.

Lecture connexe | TA : Ethereum surmonte les obstacles, pourquoi 100 SMA sont la clé

C’était similaire à la méthode d’attaque déployée sur la célèbre chaîne de blocs de contrats intelligents Solana qui a abouti à des piratages de 353 millions de dollars sur Wormhole. L’optimisme, comme Wormhole, crée ce qu’on appelle «l’éther enveloppé». Les utilisateurs déposent leur Ether sur le contrat intelligent pour servir essentiellement de garantie et ce sont même ces jetons qui n’existent que sur le réseau d’Optimism. Ils utilisent ensuite le protocole de nano-paiements pour effectuer des transactions de plus en plus rapides.

ETH récupère au-dessus de 3 100 $ | Source : ETHUSD sur TradingView.com

Saurik, connu pour avoir développé l’iOS jailbreaké, a confirmé la vulnérabilité. Cependant, au lieu d’exploiter la vulnérabilité pour son propre gain personnel, le hacker gris autoproclamé l’avait signalé aux développeurs d’Optimism. En retour, Saurik a été récompensé par une prime de 2 millions de dollars pour son altruisme, ce qui a contribué à rendre le réseau et la couche 2 plus sûrs pour les utilisateurs.

Démystifier les rumeurs populaires

Après l’annonce de la vulnérabilité et du paiement de la prime qui a suivi, des rumeurs ont circulé concernant ce qu’un attaquant aurait pu en faire s’il avait choisi de ne pas le signaler aux développeurs. Le plus populaire d’entre eux a été que l’attaquant aurait pu retirer une quantité illimitée d’ETH du réseau. Bien que cela ait un certain mérite, c’est en grande partie faux.

Premièrement, la vulnérabilité existe sur une solution de cumul de couche 2 Optimism. Bien que le protocole existe sur le réseau Ethereum, ce n’est pas le réseau lui-même. Cela signifie que la vulnérabilité a été localisée au niveau du protocole uniquement. Ainsi, alors qu’un attaquant aurait pu exploiter cela pour retirer un montant « illimité » d’ETH, il ne pouvait retirer que le solde disponible sur l’adresse Optimism.

Lecture connexe | Ethereum atteindra-t-il 7 000 $ cette année ? Le panneau du Finder dit oui

Néanmoins, ce n’est toujours pas un secret que les résultats auraient été dévastateurs pour les utilisateurs du protocole de couche 2 si un hacker black hat avait trouvé la vulnérabilité. Cet événement en dit long sur l’utilité des primes de bogue. Bien que les récompenses pour ces primes puissent sembler trop importantes au premier abord, il faut réfléchir à ce que serait l’alternative s’il n’y avait aucune incitation pour les pirates à présenter leurs découvertes. Les pirates informatiques contribuent sans aucun doute à économiser des millions, voire des milliards de dollars chaque année.

Image sélectionnée de Gagadget, graphique de TradingView.com