Meilleur fil Twitter du jour – 19 août

Saviez-vous qu'une simple signature dans Metamask peut vider votre portefeuille ?

Un utilisateur très expérimenté (dans le top 10 du Degen Score) a perdu près de 500 000 USDC aujourd'hui suite à une faille de sécurité.

Vous pourriez être le prochain…

Voici un bref aperçu de l'incident et des mesures à prendre pour éviter ce genre d'exploitation à l'avenir.

— korpi (@korpi87) 19 août 2022

C'était un après-midi tranquille lorsque Joe (nom modifié) a constaté un retrait de 469 000 USDC de son portefeuille.

Il ne s'agissait pas d'un simple virement, ce qui signifiait qu'un pirate n'avait apparemment pas accès à son portefeuille.

C'était un contrat malveillanttracavait vidé son compte en USDC… pic.twitter.com/pTgTjfMMeu

— korpi (@korpi87) 19 août 2022

Il est nécessaire d'interrompre notre récit pour expliquer quelques points techniques.

Le token USDC est un contrattracEthereum EthereumIl possède de nombreuses fonctions qui definotre interaction avec l'USDC et les opérations possibles.

Intéressons-nous à deux fonctions :
> transfer
> transferFrom pic.twitter.com/gekVmjmwvW

— korpi (@korpi87) 19 août 2022

> Transfert

Lorsque vous transférez des USDC (ou d'autres jetons ERC20) entre portefeuilles, vous utilisez la fonction de transfert.

Celle-ci déplace les jetons de l'expéditeur (l'adresse qui appelle la fonction) vers une autre adresse.

Pour utiliser la fonction de transfert de manière malveillante en votre nom, une personne devrait prendre le contrôle de votre portefeuille. pic.twitter.com/3Z3pYbBnRq

— korpi (@korpi87) 19 août 2022

transferFrom`

Lorsque vous interagissez avec destracpour transférer vos jetons. Ils peuvent transférer jusqu'à la limite que vous avez définie dans la fonction `approve`.

Si vous autorisez un contrattracdépenser une quantité illimitée d'USDC, il pourra tout transférer.https://t.co/QdUgLuZfZH

— korpi (@korpi87) 19 août 2022

Revenons à l'histoire de Joe…

L'tracinteraction contractuelle mentionnée précédemment qui a vidé le compte USDC de Joe était bien la fonction « transfertDe ».

, cette fonction ne fonctionne que si Joe a approuvé le contrattracla dépense de ses USDC.

Et Joe était absolument certain de n'avoir rien approuvé… pic.twitter.com/HH9xxYeQms

— korpi (@korpi87) 19 août 2022

Attendez une minute…

L'historique de DeBank montre clairement une approbation illimitée en USDC pour le contrat malveillanttracminutes avant l'exploitation…

Joe l'a-t-il vraiment approuvé ?

Oui. Mais non. Pas directement. pic.twitter.com/AqQQs7GZAV

— korpi (@korpi87) 19 août 2022

Etherscan révèle que l'approbation infinie n'était pas due à un appel de la fonction `approve` par Joe lui-même.

Il s'agissait d'un appel de la fonction `permit` par une autre adresse, autorisant ainsi le contrat malveillanttracdépenser tous les USDC de Joe.

C'est quoi ce délire ? Comment est-ce possible que d'autres approuvent destracà votre place ? pic.twitter.com/TS3iDbhOXu

— korpi (@korpi87) 19 août 2022

La fonction d'autorisation a été introduite pour améliorer l'expérience utilisateur sur Ethereum.

Elle permet de modifier les montants autorisés sans soumettre de transaction. Une signature suffit.

Grâce à votre signature, n'importe qui peut appeler la fonction d'autorisation et mettre à jour votre autorisation pour un utilisateur. pic.twitter.com/hem0lPsnW1

— korpi (@korpi87) 19 août 2022

Vous pouvez voir le fonctionnement de cette autorisation lorsque vous utilisez l'application décentralisée 1inch.

Si vous souhaitez vendre des USDC, vous n'avez pas besoin d'approuver la transaction au préalable.
Il vous suffit de signer un message.

Cette signature autorise 1inch à dépenser tous vos USDC. 1inch ne le fera pas, mais une personne mal intentionnéetracle faire. pic.twitter.com/Dd7ggJFWtl

— korpi (@korpi87) 19 août 2022

Joe a dûdentun tel message sur un site web malveillant.

Malheureusement, cette fois-ci, il a utilisé un portefeuille virtuel et la signature s'est faite en un seul clic, en apparence anodin.

Avec un portefeuille matériel, il y aurait eu un moment d'hésitation avant de signer un message sur un appareil externe.

— korpi (@korpi87) 19 août 2022

Avec la signature de Joe, un acteur malveillant a soumis une transaction avec autorisation.

Cela a permis au contrat malveillanttracdépenser tous les USDC du portefeuille de Joe.

Ensuite, la fonction transferFrom a été appelée et le contrat malveillanttracvidé les fonds. pic.twitter.com/1U6lWr9pmw

— korpi (@korpi87) 19 août 2022

Il semblerait que les signatures puissent avoir des conséquences catastrophiques.

Dans certains cas, Metamask vous avertit que signer un message peut être dangereux.

Ce n'est pas le cas pour les approbations signées qui, techniquement, fonctionnent comme prévu, mais peuvent causer de graves dommages en cas de mauvaise utilisation.https://t.co/5H9rNWVR3b

— korpi (@korpi87) 19 août 2022

Comment éviter de telles attaques à l'avenir ?

– Ne signez pas tout dans Metamask.
– Prenez le temps de comprendre ce que vous signez.
– Soyez prudent avec les approbations traditionnelles (voir la discussion liée)https://t.co/549NmPly5s

— korpi (@korpi87) 19 août 2022

J'espère que ce fil de discussion vous a été utile.

Suivez-moi sur Twitter (@korpi87) et consultez mon profil Notion : https://t.co/ZTqYKmhCNk pour plus d'informations.

Aimez/Retweetez le premier tweet ci-dessous pour protéger les autres contre des failles similaires : https://t.co/9pqCSXi9JH

— korpi (@korpi87) 19 août 2022

sontEthereumdus à une optimisation constante de la tokenomics au détriment de la décentralisation, de la sécurité et de la résilience. Il semble que la fusion et le PoS mèneront à une mainmise totale des plateformes d'échange et de staking centralisées sur la régulation, et qu'elles n'auront aucune issue. 🧵👇 pic.twitter.com/Ur9tf42K5p

— Samson Mow (@Excellion) 19 août 2022

Comment en sont-ils arrivés là ? En imposant une exigence de 32 ETH pour le staking dans le cadre du protocole (afin de bloquer l'offre et d'optimiser la tokenomics). Cela a rendu le PoS aussi centralisé que possible, et en plus, ils n'adhèrent pas à la principeBitcoin « pas vos clés, pas vos pièces ». pic.twitter.com/Ml4QV93ECP

— Samson Mow (@Excellion) 19 août 2022

Vous avez donc maintenant 66 % des validateurs qui doivent se conformer à la réglementation de l'OFAC. Et les ETH qu'ils ont déposés pour le staking ne peuvent pas être retirés car la fonctionnalité de retrait n'a pas été codée – à cause de la tokenomics. 📈 pic.twitter.com/BdjFqYk70J

— Samson Mow (@Excellion) 19 août 2022

Mais attendez ! Les utilisateurs d'Ethereum peuvent tout simplement #UASF comme ces Bitcoin Maxi pic.twitter.com/LBSRDOF79o

— Samson Mow (@Excellion) 19 août 2022

Non. Premièrement, les utilisateurs d'Ethereum n'exécutent pas leurs propres nœuds et deuxièmement, la plupart des services dépendent d'Infura, mais ce n'est pas le problème principal. pic.twitter.com/8rI1FsDwuU

— Samson Mow (@Excellion) 19 août 2022

Je tiens à préciser d'emblée que l'arrestation de développeurs pour avoir écrit du code est unedenthorrible et un précédent désastreux. Ceci étant dit…

— Samson Mow (@Excellion) 19 août 2022

Pour #UASF, il faut un logiciel. Or, toutes EthereumEthereumEthereum EthereumEthereumEthereumEthereum EthereumEthereum « Pyongyang ». Pyongyang empêcherait Coinbase et la majorité de 66 % de censurer les transactions sanctionnées par l'OFAC.

— Samson Mow (@Excellion) 19 août 2022

Une autre façon de dire « empêcher la censure des transactions sanctionnées par l'OFAC » pourrait être « aider à contourner les sanctions ». On a peut-être oublié Virgil. Bref, qui va développer Pyongyang ? Le type de Tornado Cash a été arrêté, donc les développeurs de Pyongyang le seront probablement aussi. pic.twitter.com/HQNtkyTQkg

— Samson Mow (@Excellion) 19 août 2022

Qui va gérer Pyongyang ? Ceux qui font le signe « X 🏴 » ? Vont-ils aussi lier leur nœud Pyongyang à leur compte .eth ? Coinbase, Kraken, Bitcoin Suisse et les autres qui représentent 66 % de la majorité ne gèrent defipas Pyongyang.

— Samson Mow (@Excellion) 19 août 2022

Bon, l'idée d'un Ethereum #UASF est abandonnée.

« Mais on peut s'en prendre à Coinbase et aux autres s'ils osent coopérer ! » pic.twitter.com/rmlgn8Cb2Y

— Samson Mow (@Excellion) 19 août 2022

Je suis peut-être un piètre adepte Bitcoin mais j'ai quand même fait une petite recherche de 10 minutes et j'ai constaté qu'il n'existe aucun mécanisme pour pénaliser Coinbase. Aucun code ne détecte ni ne sanctionne la censure des transactions. Ce système de pénalités ne sert qu'à sanctionner les interruptions de service ou les doubles signatures.

— Samson Mow (@Excellion) 19 août 2022

Nous en revenons donc à la nécessité d'une version dérivée de Pyongyang, que personne ne développera ni n'exploitera. Même si Pyongyang existait, les utilisateurs ne pourraient pas retirer leurs ETH. Et même s'ils le pouvaient, cela n'aurait aucune importance, car seul Infura compte. pic.twitter.com/RQ44BWUqzE

— Samson Mow (@Excellion) 19 août 2022

Même si, par miracle, tout s'alignait et qu'il existait un moyen pour les utilisateurs Ethereum de sanctionner Coinbase et d'autres plateformes, qu'est-ce que cela signifierait ? Cela signifierait que les actionnaires minoritaires disposeraient d'un mécanisme pour punir arbitrairement la majorité. À long terme, cela ne fonctionnera pas.

— Samson Mow (@Excellion) 19 août 2022

Voilà pourquoi nous qualifions #EthereumEthereum de #shitcoin. C'est un exercice futile, truffé de choix de conception abominables, et conçu dans le seul but de faire monter artificiellement le cours du token pic.twitter.com/irYDrzJcOO

— Samson Mow (@Excellion) 19 août 2022