La série d'attaques contre le réseau principal Ethereum , qui a entraîné des pertes de plus de 1,5 million de dollars, a été exacerbée par de nouvelles recherches montrant que les agents d'intelligence artificielle (IA) peuvent désormais découvrir et exploiter de manière autonome les vulnérabilités des protocoles de finance décentralisée.
La société de sécurité GoPlus Security a signalé que quatretracdistincts avaient été exploités en seulement 48 heures, jusqu'au 29 avril. Elle a averti que les pirates informatiques dotés d'intelligence artificielle deviennent plus précis et plus rapides que jamais.
Et les développeurs detracintelligents DeFi n'ont d'autre choix que de se tourner vers l'IA pour résoudre les problèmes que l'IA elle-même a engendrés.
L'IA peut-elle vraiment pirater DeFi à elle seule ?
a16z crypto a testé un agent de codage IA prêt à l'emploi contre 20 incidents de manipulation de prix passésdenttractrac tractracEthereuma constaté que lorsqu'on lui donnait seulement une adresse de contratdes outils de base, l'IA réussissait à exploiter la vulnérabilité seulement 10 % du temps. a constaté que lorsqu'on lui donnait seulement une adresse de contratdes outils de base, l'IA réussissait à exploiter la vulnérabilité seulement 10 % du temps. tractrac tractraca constaté que lorsqu'on lui donnait seulement une adresse de contratdes outils de base, l'IA réussissait à exploiter la vulnérabilité seulement 10 % du temps. a constaté que lorsqu'on lui donnait seulement une adresse de contratdes outils de base, l'IA réussissait à exploiter la vulnérabilité seulement 10 % du temps.
Cependant, lorsque les chercheurs ont donné à l'agent accès à des connaissances structurées sur les schémas d'attaque courants tels que les exploits de dons de coffre-fort et la manipulation de pools de teneurs de marché automatisés (AMM), le taux de réussite est passé à 70 %.
Les chercheurs ont constaté que si l'IA excelle dans la détection de bugs, elle rencontre parfois des difficultés face à des attaques complexes en plusieurs étapes. Un agent a même tenté de s'échapper de son environnement de test entracune clé secrète pour consulter les données des blocs futurs.
Anthropic a récemment annoncé un nouveau modèle d'IA appelé « Claude Mythos Preview ». La société a déclaré que ce modèle peut trouver et écrire de manière autonome des exploits fonctionnels pour les vulnérabilités zero-day sur les principaux systèmes d'exploitation et navigateurs Web.
Avant Mythos Preview, les anciens modèles affichaient un taux de réussite quasi nul en matière d'écriture d'exploits. L'entreprise a également confirmé que les mêmes améliorations qui rendent le modèle performant pour corriger les vulnérabilités le rendent également performant pour les exploiter.
Lorsqu'il a eu accès à l'API de transactions d'Etherscan, l'agent a trouvé d'anciennes transactions d'attaques et les a rétro-ingénierées pour écrire son propre code d'exploitation.
Combien a été perdue lors du piratage de ZetaChain ?
GoPlus Security a détecté quatre failles de sécurité distinctestracexploitant des contrats intelligents sur Ethereum en l'espace de 48 heures, jusqu'au 29 avril. Les pertes cumulées ont dépassé 1,5 million de dollars. L'entreprise qualifie le rythme actuel des attaques assistées par l'IA d'« ère du compte à rebours à la seconde près ».
les plus importants de la semainedent, environ 333 868 $ ont été dérobés lors de neuf transactions sur quatre blockchains, dont Ethereum, Arbitrum, Base et BSC. Le rapport d'analyse indique qu'aucun fonds utilisateur n'a été perdu ; les trois portefeuilles concernés appartenaient à l'équipe ZetaChain.
L'attaquant a exploité une fonctionnalité dutracGatewayEVM utilisant des « appels arbitraires ». La passerelle ne disposait pas d'une liste de blocage stricte, ce qui a permis au pirate de lui ordonner de transférer des quotas de jetons définis par les portefeuilles de l'équipe.
Le pirate a approvisionné des portefeuilles électroniques via Tornado Cash trois jours avant l'attaque, en imitant le portefeuille d'une victime.
ZetaChain a reconnu que la vulnérabilité avait été signalée précédemment via son programme de primes aux bogues, mais les premiers signalements avaient été ignorés. Le protocole a depuis suspendu les transactions inter-chaînes et déploie actuellement un correctif pour désactiver le code à risque.
Parmi les autres failles de sécurité Ethereumdentpar GoPlus Security au cours des dernières 48 heures, on peut citer untracd'agrégateur onchain ayant entraîné une perte d'environ 983 000 $ en raison de contrôles d'accès manquants ; un coffre-fort tiers non autorisé lié à TradingProtocol ayant entraîné une perte d'environ 398 000 $ également en raison de contrôles d'autorisation manquants ; untracBCB ayant entraîné une perte d'environ 39 800 $ en raison d'une vulnérabilité de réentrance ; et un contrat d'actifs QNT ayanttracune perte d'environ 124 900 $ en raison d'une vulnérabilité d'appel arbitraire.
Cryptopolitan rapporte que DeFi pour le seul mois d'avril , dépassant les statistiques combinées des trois premiers mois de l'année.
Face à l'augmentation des pertes dans les affaires récentes, un affrontement épique se profile, où hackers et développeurs se battent contre l'IA par l'IA. Avec l'arrivée de Mythos d'Anthropic et d'autres solutions sur le marché, il semble que l'IA arme les hackers et que les développeurs n'auront d'autre choix que d'y recourir pour se défendre
