Les meilleures analyses crypto directement dans votre boîte mail.
Savez-vous qu'une simple signature dans Metamask peut vous coûter très cher ?
Saviez-vous qu'une simple signature dans Metamask peut vider votre portefeuille ?
— korpi (@korpi87) 19 août 2022
Un utilisateur très expérimenté (dans le top 10 du Degen Score) a perdu près de 500 000 USDC aujourd'hui suite à une faille de sécurité.
Vous pourriez être le prochain…
Voici un bref aperçu de l'incident et des mesures à prendre pour éviter ce genre d'exploitation à l'avenir.
C'était un après-midi tranquille lorsque Joe (nom modifié) a constaté un retrait de 469 000 USDC de son portefeuille.
— korpi (@korpi87) 19 août 2022
Il ne s'agissait pas d'un simple virement, ce qui signifiait qu'un pirate n'avait apparemment pas accès à son portefeuille.
C'était un contrat malveillanttracavait vidé son compte en USDC… pic.twitter.com/pTgTjfMMeu
Il est nécessaire d'interrompre notre récit pour expliquer quelques points techniques.
— korpi (@korpi87) 19 août 2022
Le token USDC est un contrattracEthereum EthereumIl possède de nombreuses fonctions qui definotre interaction avec l'USDC et les opérations possibles.
Intéressons-nous à deux fonctions :
> transfer
> transferFrom pic.twitter.com/gekVmjmwvW
> Transfert
— korpi (@korpi87) 19 août 2022
Lorsque vous transférez des USDC (ou d'autres jetons ERC20) entre portefeuilles, vous utilisez la fonction de transfert.
Celle-ci déplace les jetons de l'expéditeur (l'adresse qui appelle la fonction) vers une autre adresse.
Pour utiliser la fonction de transfert de manière malveillante en votre nom, une personne devrait prendre le contrôle de votre portefeuille. pic.twitter.com/3Z3pYbBnRq
transferFrom`
— korpi (@korpi87) 19 août 2022
Lorsque vous interagissez avec destracpour transférer vos jetons. Ils peuvent transférer jusqu'à la limite que vous avez définie dans la fonction `approve`.
Si vous autorisez un contrattracdépenser une quantité illimitée d'USDC, il pourra tout transférer.https://t.co/QdUgLuZfZH
Revenons à l'histoire de Joe…
— korpi (@korpi87) 19 août 2022
L'tracinteraction contractuelle mentionnée précédemment qui a vidé le compte USDC de Joe était bien la fonction « transfertDe ».
, cette fonction ne fonctionne que si Joe a approuvé le contrattracla dépense de ses USDC.
Et Joe était absolument certain de n'avoir rien approuvé… pic.twitter.com/HH9xxYeQms
Attendez une minute…
— korpi (@korpi87) 19 août 2022
L'historique de DeBank montre clairement une approbation illimitée en USDC pour le contrat malveillanttracminutes avant l'exploitation…
Joe l'a-t-il vraiment approuvé ?
Oui. Mais non. Pas directement. pic.twitter.com/AqQQs7GZAV
Etherscan révèle que l'approbation infinie n'était pas due à un appel de la fonction `approve` par Joe lui-même.
— korpi (@korpi87) 19 août 2022
Il s'agissait d'un appel de la fonction `permit` par une autre adresse, autorisant ainsi le contrat malveillanttracdépenser tous les USDC de Joe.
C'est quoi ce délire ? Comment est-ce possible que d'autres approuvent destracà votre place ? pic.twitter.com/TS3iDbhOXu
La fonction d'autorisation a été introduite pour améliorer l'expérience utilisateur sur Ethereum.
— korpi (@korpi87) 19 août 2022
Elle permet de modifier les montants autorisés sans soumettre de transaction. Une signature suffit.
Grâce à votre signature, n'importe qui peut appeler la fonction d'autorisation et mettre à jour votre autorisation pour un utilisateur. pic.twitter.com/hem0lPsnW1
Vous pouvez voir le fonctionnement de cette autorisation lorsque vous utilisez l'application décentralisée 1inch.
— korpi (@korpi87) 19 août 2022
Si vous souhaitez vendre des USDC, vous n'avez pas besoin d'approuver la transaction au préalable.
Il vous suffit de signer un message.
Cette signature autorise 1inch à dépenser tous vos USDC. 1inch ne le fera pas, mais une personne mal intentionnéetracle faire. pic.twitter.com/Dd7ggJFWtl
Joe a dûdentun tel message sur un site web malveillant.
— korpi (@korpi87) 19 août 2022
Malheureusement, cette fois-ci, il a utilisé un portefeuille virtuel et la signature s'est faite en un seul clic, en apparence anodin.
Avec un portefeuille matériel, il y aurait eu un moment d'hésitation avant de signer un message sur un appareil externe.
Avec la signature de Joe, un acteur malveillant a soumis une transaction avec autorisation.
— korpi (@korpi87) 19 août 2022
Cela a permis au contrat malveillanttracdépenser tous les USDC du portefeuille de Joe.
Ensuite, la fonction transferFrom a été appelée et le contrat malveillanttracvidé les fonds. pic.twitter.com/1U6lWr9pmw
Il semblerait que les signatures puissent avoir des conséquences catastrophiques.
— korpi (@korpi87) 19 août 2022
Dans certains cas, Metamask vous avertit que signer un message peut être dangereux.
Ce n'est pas le cas pour les approbations signées qui, techniquement, fonctionnent comme prévu, mais peuvent causer de graves dommages en cas de mauvaise utilisation.https://t.co/5H9rNWVR3b
Comment éviter de telles attaques à l'avenir ?
— korpi (@korpi87) 19 août 2022
– Ne signez pas tout dans Metamask.
– Prenez le temps de comprendre ce que vous signez.
– Soyez prudent avec les approbations traditionnelles (voir la discussion liée)https://t.co/549NmPly5s
J'espère que ce fil de discussion vous a été utile.
— korpi (@korpi87) 19 août 2022
Suivez-moi sur Twitter (@korpi87) et consultez mon profil Notion : https://t.co/ZTqYKmhCNk pour plus d'informations.
Aimez/Retweetez le premier tweet ci-dessous pour protéger les autres contre des failles similaires : https://t.co/9pqCSXi9JH
La fusion Ethereum va-t-elle entraîner une mainmise des autorités de régulation sur le secteur ?
sontEthereumdus à une optimisation constante de la tokenomics au détriment de la décentralisation, de la sécurité et de la résilience. Il semble que la fusion et le PoS mèneront à une mainmise totale des plateformes d'échange et de staking centralisées sur la régulation, et qu'elles n'auront aucune issue. 🧵👇 pic.twitter.com/Ur9tf42K5p
— Samson Mow (@Excellion) 19 août 2022
Comment en sont-ils arrivés là ? En imposant une exigence de 32 ETH pour le staking dans le cadre du protocole (afin de bloquer l'offre et d'optimiser la tokenomics). Cela a rendu le PoS aussi centralisé que possible, et en plus, ils n'adhèrent pas à la principeBitcoin « pas vos clés, pas vos pièces ». pic.twitter.com/Ml4QV93ECP
— Samson Mow (@Excellion) 19 août 2022
Vous avez donc maintenant 66 % des validateurs qui doivent se conformer à la réglementation de l'OFAC. Et les ETH qu'ils ont déposés pour le staking ne peuvent pas être retirés car la fonctionnalité de retrait n'a pas été codée – à cause de la tokenomics. 📈 pic.twitter.com/BdjFqYk70J
— Samson Mow (@Excellion) 19 août 2022
Mais attendez ! Les utilisateurs d'Ethereum peuvent tout simplement #UASF comme ces Bitcoin Maxi pic.twitter.com/LBSRDOF79o
— Samson Mow (@Excellion) 19 août 2022
Non. Premièrement, les utilisateurs d'Ethereum n'exécutent pas leurs propres nœuds et deuxièmement, la plupart des services dépendent d'Infura, mais ce n'est pas le problème principal. pic.twitter.com/8rI1FsDwuU
— Samson Mow (@Excellion) 19 août 2022
Je tiens à préciser d'emblée que l'arrestation de développeurs pour avoir écrit du code est unedenthorrible et un précédent désastreux. Ceci étant dit…
— Samson Mow (@Excellion) 19 août 2022
Pour #UASF, il faut un logiciel. Or, toutes EthereumEthereumEthereum EthereumEthereumEthereumEthereum EthereumEthereum « Pyongyang ». Pyongyang empêcherait Coinbase et la majorité de 66 % de censurer les transactions sanctionnées par l'OFAC.
— Samson Mow (@Excellion) 19 août 2022
Une autre façon de dire « empêcher la censure des transactions sanctionnées par l'OFAC » pourrait être « aider à contourner les sanctions ». On a peut-être oublié Virgil. Bref, qui va développer Pyongyang ? Le type de Tornado Cash a été arrêté, donc les développeurs de Pyongyang le seront probablement aussi. pic.twitter.com/HQNtkyTQkg
— Samson Mow (@Excellion) 19 août 2022
Qui va gérer Pyongyang ? Ceux qui font le signe « X 🏴 » ? Vont-ils aussi lier leur nœud Pyongyang à leur compte .eth ? Coinbase, Kraken, Bitcoin Suisse et les autres qui représentent 66 % de la majorité ne gèrent defipas Pyongyang.
— Samson Mow (@Excellion) 19 août 2022
Bon, l'idée d'un Ethereum #UASF est abandonnée.
— Samson Mow (@Excellion) 19 août 2022
« Mais on peut s'en prendre à Coinbase et aux autres s'ils osent coopérer ! » pic.twitter.com/rmlgn8Cb2Y
Je suis peut-être un piètre adepte Bitcoin mais j'ai quand même fait une petite recherche de 10 minutes et j'ai constaté qu'il n'existe aucun mécanisme pour pénaliser Coinbase. Aucun code ne détecte ni ne sanctionne la censure des transactions. Ce système de pénalités ne sert qu'à sanctionner les interruptions de service ou les doubles signatures.
— Samson Mow (@Excellion) 19 août 2022
Nous en revenons donc à la nécessité d'une version dérivée de Pyongyang, que personne ne développera ni n'exploitera. Même si Pyongyang existait, les utilisateurs ne pourraient pas retirer leurs ETH. Et même s'ils le pouvaient, cela n'aurait aucune importance, car seul Infura compte. pic.twitter.com/RQ44BWUqzE
— Samson Mow (@Excellion) 19 août 2022
Même si, par miracle, tout s'alignait et qu'il existait un moyen pour les utilisateurs Ethereum de sanctionner Coinbase et d'autres plateformes, qu'est-ce que cela signifierait ? Cela signifierait que les actionnaires minoritaires disposeraient d'un mécanisme pour punir arbitrairement la majorité. À long terme, cela ne fonctionnera pas.
— Samson Mow (@Excellion) 19 août 2022
Voilà pourquoi nous qualifions #EthereumEthereum de #shitcoin. C'est un exercice futile, truffé de choix de conception abominables, et conçu dans le seul but de faire monter artificiellement le cours du token pic.twitter.com/irYDrzJcOO
— Samson Mow (@Excellion) 19 août 2022
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.

Ibiam Wayas est un rédacteur spécialisé dans les cryptomonnaies, actif depuis 2019. Il a étudié l'informatique à l'Université nationale ouverte du Nigéria. Ses articles ont été publiés sur diverses plateformes d'actualités crypto, notamment Coinfomania, Crypto News Australia et AltcoinBuzz. Ibiam collabore actuellement avec Cryptopolitan, où il est également rédacteur.



LES
- Quelles cryptomonnaies peuvent vous faire gagner de l'argent ?
- Comment renforcer la sécurité de votre portefeuille (et lesquels valent vraiment la peine d'être utilisés)
- Stratégies d'investissement peu connues utilisées par les professionnels
- Comment débuter en investissement crypto (quelles plateformes d'échange utiliser, quelles cryptomonnaies acheter, etc.)












