Un attaquant a drainé environ 72 000 $ de jetons STRONG et STRNGR après avoir pris le contrôle du système de gouvernance en chaîne abandonné de StrongBlock via une proposition malveillante.
Résumé
- Un attaquant a drainé environ 72 000 $ après avoir pris le contrôle du système de gouvernance abandonné de StrongBlock.
- Une proposition malveillante a donné à l'attaquant le contrôle administratif du contrat Governor du protocole.
- L'attaquant a mis à niveau le contrat Governor avant de voler 32 695 STRONG et 383 447 STRNGR.
- L'incident reposait sur le contrôle de la gouvernance plutôt que sur une vulnérabilité de contrat intelligent.
- L'attaque fait suite à des violations de sécurité cryptographiques récentes ciblant la gouvernance, l'infrastructure et les logiciels de portefeuille.
Selon la société de sécurité blockchain Defimon Alerts, l'attaquant a acquis suffisamment de pouvoir de vote dans la gouvernance de StrongBlock pour faire passer une proposition qui a finalement transféré le contrôle administratif du contrat Governor du protocole avant que les fonds ne soient retirés.
Au lieu d'exploiter une faille dans les contrats intelligents de StrongBlock, l'attaquant a utilisé le processus de gouvernance du protocole lui-même pour obtenir un accès privilégié. Après avoir obtenu les droits d'administrateur, l'attaquant a mis à niveau le proxy Governor vers une nouvelle implémentation qui permettait des appels de contrat arbitraires en utilisant l'autorité du Governor.
L'incident s'ajoute à une série d'événements de sécurité cryptographiques récents qui ont ciblé les systèmes de gouvernance, l'infrastructure de support et les logiciels de portefeuille via différentes voies d'attaque plutôt que de se fier uniquement aux bugs de contrats intelligents.
La gouvernance de StrongBlock a été utilisée pour saisir le contrôle du protocole
Avant que l'attaque ne se déroule, l'attaquant a accumulé une majorité du jeton de gouvernance STRONG du protocole, que Defimon Alerts a décrit comme étant devenu presque sans valeur après l'abandon du projet.
Détenant suffisamment de pouvoir de vote, l'attaquant a soumis une proposition de gouvernance ordonnant au contrat Upgrader du Governor d'exécuter setPendingAdmin(attaquant), faisant de l'adresse de l'attaquant l'administrateur en attente.
Plutôt que de contourner la gouvernance, la proposition a franchi toutes les étapes requises. Elle a reçu suffisamment de votes, est entrée dans la file d'attente et a été exécutée selon le processus de gouvernance normal du protocole, transférant finalement le contrôle administratif du proxy Governor à l'attaquant.
Les privilèges administratifs ont ensuite permis à l'attaquant de remplacer l'implémentation du Governor par un contrat minimal non vérifié contenant une fonction forward(address, bytes).
Selon Defimon Alerts, la fonction était restreinte au compte détenu par l'attaquant et servait effectivement de mécanisme d'appel arbitraire, permettant à l'attaquant d'exécuter des transactions avec l'autorité du Governor sur les contrats de StrongBlock.
Les transferts de jetons ont eu lieu dans la transaction suivante.
Plus de 400 000 jetons ont été retirés du pool
En utilisant l'implémentation mise à niveau, l'attaquant a exécuté des transactions qui ont transféré des actifs du pool du protocole plutôt que d'exploiter une erreur dans la logique du contrat du protocole.
Defimon Alerts a déclaré que l'attaquant a retiré 32 695 jetons STRONG ainsi que 383 447 STRNGR, portant la valeur estimée des actifs volés à environ 72 000 $.
La société de sécurité a qualifié l'incident de prise de contrôle de la gouvernance car chaque action critique, y compris le changement d'administrateur et la mise à niveau du contrat, s'est produite via des permissions de gouvernance plutôt que via une vulnérabilité logicielle.
En remplaçant l'implémentation du Governor avant de déplacer les fonds, l'attaquant a transformé le contrat de gouvernance lui-même en mécanisme utilisé pour autoriser les transferts.
Les attaques de gouvernance diffèrent des récents exploits cryptographiques
Les récents incidents de sécurité ont démontré que les attaquants ciblent de plus en plus différentes parties de l'infrastructure cryptographique.
À la fin du mois dernier, le protocole de perpétuels décentralisés Ostium a conclu que les attaquants ont volé 23,75 millions d'USDC après avoir obtenu un accès non autorisé à son infrastructure hors chaîne plutôt qu'en exploitant des vulnérabilités dans ses contrats intelligents.
Selon l'analyse post-mortem d'Ostium, des rapports de prix BTC-USD frauduleux soumis via une infrastructure de confiance ont permis à l'attaquant de générer des profits commerciaux artificiels qui ont été réglés contre le pool de liquidité OLP public du protocole. Une analyse antérieure de la société de sécurité blockchain Blockaid a également conclu que des rapports d'oracle manipulés, plutôt que des défauts dans le code du contrat, ont permis l'exploit.
Par ailleurs, l'incident du portefeuille Coldcard provient d'un problème de micrologiciel introduit lors d'une mise à jour logicielle de mars 2021. Les équipes d'ingénierie et de sécurité Bitcoin de Coinkite et Block ont conclu que le micrologiciel affecté générait des graines de portefeuille en utilisant un générateur pseudo-aléatoire déterministe au lieu du générateur de nombres aléatoires matériel prévu, réduisant ainsi l'entropie utilisée pour créer les clés privées.
Galaxy Research a confirmé des vols totalisant 1 596 BTC sur environ 7 300 adresses liées à trois vagues d'attaques. La société de recherche a également identifié une quatrième vague coordonnée suspectée impliquant 448,7 BTC supplémentaires, bien qu'elle n'ait pas encore inclus ces adresses dans son total confirmé car la confirmation supplémentaire des victimes reste en attente.
L'examen de Coldcard s'est étendu à des vérifications de sécurité à l'échelle de Bitcoin
L'incident de Coldcard a incité les développeurs à examiner une bien plus grande partie de l'écosystème logiciel de Bitcoin.
Plus tôt cette semaine, le développeur Bitcoin Calle a déclaré que la Bitcoin Red Team bénévole avait terminé des examens assistés par IA et manuels sur 390 dépôts liés à Bitcoin, identifiant 4 962 problèmes de sécurité potentiels, dont 720 classés comme de gravité élevée ou critique.
Selon Calle, environ 21,4 % des résultats signalés ont déjà été reproduits par vérification manuelle avant d'être divulgués en privé aux développeurs concernés.
La campagne d'examen couvre les portefeuilles Bitcoin, les bibliothèques cryptographiques, les logiciels d'infrastructure et d'autres projets open source. Calle a déclaré qu'OpenSats finance environ 10 000 $ par jour en coûts de calcul, tandis que Kimi Moonshot a fourni des comptes IA et un accès à son modèle Kimi K3 pour soutenir l'effort.
La gouvernance est restée la surface d'attaque
Contrairement à l'exploit d'Ostium ou à l'incident du portefeuille Coldcard, l'attaque de StrongBlock n'a pas reposé sur une infrastructure compromise, une manipulation d'oracle ou des faiblesses cryptographiques.
Au lieu de cela, l'attaquant a d'abord obtenu le contrôle de la gouvernance avant de modifier le contrat administrateur du protocole lui-même.
Selon Defimon Alerts, la mise à niveau du proxy Governor vers une implémentation contenant la fonction restreinte forward(address, bytes) a donné au portefeuille de l'attaquant l'autorité exclusive d'exécuter des appels arbitraires via le contrat Governor.
Les actifs volés ont ensuite été transférés en utilisant les autorisations que le protocole lui-même a accordées après la réalisation de la proposition de gouvernance, illustrant comment des systèmes de gouvernance abandonnés peuvent continuer à exercer un contrôle administratif sur les contrats du protocole même après que l'activité de développement a largement cessé.
