Une faille de sécurité dans le portefeuille Argent aurait permis à des attaquants de voler des fonds à des utilisateurs sans tuteur légal.
Selon un rapport des chercheurs d'OpenZeppelin, ce bug aurait pu permettre aux attaquants de prendre le contrôle des portefeuilles Argent, en particulier ceux qui n'avaient activé aucune fonction de protection .
Vulnérabilité du portefeuille Argent exploitée
La fonctionnalité de tuteur permet aux utilisateurs de contrôler certaines actions de leur portefeuille, comme sa récupération et son verrouillage. Pour créer un compte sur la plateforme, il est nécessaire de désigner un tuteur. Cependant, les comptes créés avant le 30 mars 2020 pouvaient être configurés sans tuteur.
Des pirates ont exploité une faille dans le code d'Argent et déclenché une procédure de récupération sur des comptes n'ayant pas désigné de tuteur. Toutefois, les utilisateurs peuvent protéger leurs fonds en surveillant régulièrement leurs portefeuilles et en annulant la demande de récupération dans les 36 heures suivant son émission.
Il s'agit d'une période de récupération par défaut qui peut désormais être utilisée pour protéger les fonds des utilisateurs. Cependant, si l'utilisateur bloque une tentative de récupération, une faille dans le portefeuille le rend vulnérable à une attaque par déni de service susceptible de bloquer ses fondsdefi.
Cela peut se faire en demandant à plusieurs reprises la récupération du portefeuille afin que le compte reste en période de récupération et que l'utilisateur ne puisse pas accéder aux fonds.
Solution
L'équipe d'Argent a indiqué qu'elle utiliserait le correctif d'OpenZeppelin empêchant les attaquants de déclencher une récupération de portefeuille . Compte tenu du grand nombre de portefeuilles sans gardien, la société a suggéré l'ajout d'une fonction garantissant que si un portefeuille n'a aucun gardien, la requête ne sera pas retournée.
Argent a révélé qu'elle contactait déjà les utilisateurs concernés pour mettre en place au moins un système de surveillance pour leur portefeuille .
