Les pirates informatiques IA et les contrats intelligents DeFi préparent un affrontement alors que les pertes augmentent
- Les agents d'IA sont devenus si avancés que les non-experts peuvent désormais les utiliser pour identifier et écrire automatiquement du code fonctionnel pour les exploits DeFi.
- Plus de 1,5 million de dollars ont été volés lors de seulement quatre attaques par contrat intelligent sur Ethereum en 48 heures.
- Le protocole ZetaChain a perdu 333 868 $ dans une attaque sophistiquée et préméditée après avoir ignoré un rapport de bug.
La série d'attaques sur le réseau principal d'Ethereum qui a entraîné plus de 1,5 million de dollars de pertes a été exacerbée par de nouvelles recherches montrant que les agents d'intelligence artificielle (IA) peuvent désormais découvrir et exploiter autonomément les vulnérabilités dans les protocoles de finance décentralisée.
La société de sécurité GoPlus Security a signalé que quatre contrats distincts ont été exploités en seulement 48 heures, jusqu'au 29 avril. L'entreprise a mis en garde contre le fait que les pirates informatiques, armés d'IA, deviennent plus précis et rapides que jamais.
Et les développeurs de contrats intelligents DeFi n'ont nulle part où se tourner, sauf vers l'IA, pour résoudre les problèmes que l'IA elle-même a créés.
L'IA peut-elle vraiment pirater la DeFi seule ?
a16z crypto a testé un agent de codage IA standard contre 20 incidents passés de manipulation de prix sur Ethereum et a constaté que, lorsqu'on lui donnait simplement une adresse de contrat et des outils de base, l'IA réussissait à exploiter la vulnérabilité seulement 10 % du temps.
Cependant, lorsque les chercheurs ont donné à l'agent un accès à des connaissances structurées sur les schémas d'attaque courants, tels que les exploits de don de vault et la manipulation de pools de market makers automatisés (AMM), le taux de réussite a bondi à 70 %.
Les chercheurs ont noté que, bien que l'IA soit très bonne pour trouver des bugs, elle a parfois du mal avec les attaques complexes et multi-étapes. Un agent a même essayé de « s'échapper » de son environnement de test en extrayant une clé secrète pour examiner les données des blocs futurs.
Anthropic a récemment a annoncé présenté un nouveau modèle d'IA appelé « Claude Mythos Preview ». L'entreprise a déclaré que ce modèle peut trouver et rédiger autonomement des exploits fonctionnels pour des vulnérabilités zero-day sur les principaux systèmes d'exploitation et navigateurs web.
Avant Mythos Preview, les modèles plus anciens avaient un « taux de réussite proche de 0 % » pour la rédaction d'exploits. L'entreprise a également confirmé que les mêmes améliorations qui rendent le modèle performant pour corriger les vulnérabilités le rendent également performant pour les exploiter.
Lorsqu'il a eu accès à l'API de transactions d'Etherscan, l'agent a trouvé de véritables transactions d'attaque passées et les a rétro-conçues pour écrire son propre code d'exploitation.
Combien a-t-on perdu dans le hack de ZetaChain ?
GoPlus Security a signalé quatre exploits distincts de contrats intelligents sur le réseau principal Ethereum dans une fenêtre de 48 heures se terminant le 29 avril. Les pertes combinées ont dépassé 1,5 million de dollars. L'entreprise a décrit le rythme actuel des attaques assistées par l'IA comme une « ère du compte à rebours à la seconde ».
Lors l'un des plus grands incidents de la semaine, environ 333 868 $ ont été drainés sur neuf transactions sur quatre chaînes, y compris Ethereum, Arbitrum, Base et BSC. Le rapport post-mortem officiel de ZetaChain indique qu'aucun fonds utilisateur n'a été perdu ; les trois portefeuilles affectés appartenaient à l'équipe de ZetaChain. L'attaquant a profité d'une fonctionnalité du contrat GatewayEVM utilisant des « appels arbitraires ». La passerelle ne disposait pas de liste noire stricte, permettant au pirate d'ordonner le transfert des autorisations de tokens qui avaient été définies par les portefeuilles de l'équipe.
Le pirate a financé les portefeuilles via Tornado Cash trois jours avant l'attaque, tout en imitant le portefeuille d'une victime.
ZetaChain
a admis que la vulnérabilité avait été signalée plus tôt via son programme de bug bounty, mais les rapports initiaux ont été rejetés. Le protocole a depuis suspendu les transactions inter-chaînes et déploie un correctif pour désactiver le code risqué. D'autres exploits Ethereum identifiés par GoPlus Security au cours des 48 dernières heures incluent un contrat d'agrégateur on-chain qui a perdu environ 983 000 $ en raison de contrôles d'accès manquants ; un vault tiers non autorisé lié à TradingProtocol qui a perdu environ 398 000 $ également en raison de vérifications de permissions manquantes ; un contrat BCB qui a perdu environ 39 800 $ en raison d'une vulnérabilité de réentrance ; et un contrat d'actif QNT qui a perdu environ 124 900 $ en raison d'une vulnérabilité d'appel arbitraire.
Cryptopolitan rapporte que
les pertes DeFi en avril seules ont atteint des niveaux records, dépassant les statistiques combinées des trois premiers mois de l'année. Avec des pertes croissantes dans les cas récents, cela prépare un affrontement épique où les pirates et les développeurs se battent avec l'IA contre l'IA. Avec Mythos d'Anthropic et d'autres entrant désormais dans la conversation, il semble que l'IA arme les pirates et que les développeurs n'auront d'autre choix que d'utiliser l'IA pour se défendre
Les agents IA sont devenus si avancés que les non-experts peuvent désormais les utiliser pour identifier et écrire autonomement du code fonctionnel pour les exploits DeFi.
Les esprits les plus brillants du secteur crypto lisent déjà notre newsletter. Vous aussi ? Rejoignez-les.
FAQ
Comment les pirates utilisent-ils l'IA pour exploiter les contrats intelligents DeFi ?
Selon les recherches de a16z crypto, des agents de codage IA prêts à l'emploi, ne disposant que d'une adresse de contrat et d'outils de développement standards, peuvent identifier indépendamment les vulnérabilités de manipulation de prix et rédiger du code d'exploitation fonctionnel, avec un taux de réussite de 10 % sur les cas de test, même sans connaissance du domaine.
Combien a été perdu dans l'exploitation de ZetaChain ?
Le rapport post-mortem de ZetaChain a confirmé qu'environ 333 868 $ ont été drainés via neuf transactions sur quatre blockchains (Ethereum, Arbitrum, Base et BSC), bien qu'aucun fonds d'utilisateur externe n'ait été perdu, car les trois portefeuilles affectés appartenaient tous à ZetaChain.
Qu'est-ce que le projet Glasswing d'Anthropic ?
Project Glasswing est l'initiative d'Anthropic visant à offrir aux partenaires d'infrastructures critiques et aux développeurs open source un accès anticipé à son modèle Mythos Preview à des fins de sécurité défensive, afin de permettre aux défenseurs de sécuriser les systèmes clés avant que des modèles disposant de capacités d'exploitation similaires ne soient largement disponibles.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
