Les attaquants auraient pu exploiter une vulnérabilité dans le portefeuille Argent pour voler les fonds des utilisateurs

Une vulnérabilité dans le portefeuille Argent aurait permis aux attaquants de voler les fonds des utilisateurs qui n'ont pas de gardiens.

Selon un rapport des chercheurs d'OpenZeppelin, la vulnérabilité aurait pu permettre aux attaquants de prendre le contrôle des portefeuilles Argent, en particulier ceux qui n'ont activé aucune fonctionnalité de gardien.

Exploitation de la vulnérabilité du portefeuille Argent

La fonctionnalité de gardien permet aux utilisateurs de contrôler certaines actions d'un portefeuille, telles que la récupération du portefeuille et son verrouillage. Pour créer un compte sur la plateforme, les utilisateurs doivent configurer des gardiens. Cependant, les comptes créés avant le 30 mars 2020 pouvaient être configurés sans gardien.

Les attaquants ont exploité un bug dans le code d'Argent et ont déclenché un processus de récupération sur les comptes qui n'avaient pas configuré de gardien. Cependant, les utilisateurs peuvent protéger leurs fonds en surveillant régulièrement leurs portefeuilles et en annulant la demande de récupération dans les 36 heures suivant son émission.

Il s'agit d'une période de récupération par défaut qui peut désormais être utilisée pour protéger les fonds des utilisateurs. Cependant, si l'utilisateur bloque une tentative de récupération, le bug du portefeuille les laisse vulnérables à une attaque par déni de service qui pourrait geler leurs fonds pour une période indéterminée.

Cela peut être fait en demandant répétitivement une récupération de portefeuille afin que le compte reste en période de récupération et que l'utilisateur ne puisse pas accéder aux fonds.

Solution

L'équipe d'Argent a signalé qu'elle utiliserait la correction d'OpenZeppelin qui empêcherait les attaquants de déclencher une récupération de portefeuille. En raison du grand nombre de portefeuilles sans gardiens, l'entreprise a suggéré l'ajout d'une fonction qui garantirait que si un portefeuille a zéro gardien, la demande ne soit pas traitée.

Argent a révélé qu'elle contactait déjà les utilisateurs affectés pour mettre en place au moins un gardien pour leur portefeuille.