Consensys lance un nouvel outil pour une sécurité renforcée des contrats intelligents

L'entreprise de technologie blockchain ConsenSys a fait un pas significatif pour renforcer la sécurité des plateformes de finance décentralisée (DeFi) en publiant publiquement son outil « Diligence Fuzzing » pour les tests de contrats intelligents. L'annonce, faite le 1er août, met en évidence la capacité de l'outil à générer des « points de données aléatoires et invalides » pour détecter les vulnérabilités dans les contrats avant leur déploiement, empêchant potentiellement des pertes de millions de dollars dues à des piratages et à des brèches de sécurité.

Consensys prévoit d'empêcher les brèches grâce à l'outil

L'urgence d'avoir de meilleurs outils de test découle des 2,8 milliards de dollars perdus dans les piratages DeFi en 2022. Alors que les pirates continuent d'exploiter les vulnérabilités des contrats intelligents, les développeurs se tournent vers des méthodes de test plus sophistiquées pour identifier les faiblesses avant que les acteurs malveillants ne le fassent. L'outil « Diligence Fuzzing » était initialement accessible uniquement via une version bêta fermée, qui nécessitait que les développeurs demandent l'autorisation d'y accéder. Cependant, depuis le 1er août, l'outil est devenu disponible pour tous sans besoin d'approbation préalable.

De plus, il a été intégré à la boîte à outils de contrats intelligents Foundry, offrant aux développeurs une version gratuite pour évaluer son efficacité avant de s'engager dans une version complète. Pour mettre en œuvre efficacement l'outil « Diligence Fuzzing », les développeurs peuvent utiliser « Scribble », un langage machine développé par ConsenSys, pour annoter leurs contrats. Ces annotations permettent à l'outil de fuzzing de comprendre le comportement du contrat et de produire ensuite des entrées « inattendues » pour évaluer si le contrat peut être manipulé pour exécuter des actions non prévues.

Il est important de noter que l’outil « Diligence Fuzzing » diffère d’un « fuzzer boîte noire » conventionnel qui génère des données entièrement aléatoires. Au lieu de cela, il fonctionne comme un « fuzzer boîte grise », tirant parti des informations sur l’état actuel du programme pour produire des types de données plus susceptibles de révéler des vulnérabilités potentielles. Cette approche augmente l’efficacité de l’outil, permettant aux développeurs de détecter les risques de sécurité plus efficacement. Selon Gonçalo Sá, chercheur en sécurité chez ConsenSys, on observe une augmentation notable de l’intérêt des développeurs pour le fuzzing.

Adopter un fuzzing sophistiqué pour atténuer les vulnérabilités DeFi

La popularité de Foundry a conduit les développeurs à utiliser son fuzzer boîte noire par défaut, les rendant plus à l’aise avec les méthodologies de fuzzing. Cependant, certains développeurs recherchent désormais des capacités de fuzzing plus sophistiquées, ce que vise à fournir Diligence Fuzzer. Sá a souligné la prise de conscience croissante des développeurs concernant la puissance des outils de sécurité, y compris le fuzzing. Le besoin de mesures de sécurité renforcées est devenu de plus en plus évident alors que le nombre de piratages de contrats intelligents continue d’augmenter.

Au premier semestre 2023, à l’exclusion des « rug pulls » et des escroqueries par hameçonnage, les pertes liées aux vulnérabilités de sécurité Web3 ont dépassé 471,43 millions de dollars. Bien que Diligence Fuzzing représente une étape précieuse vers la minimisation des vulnérabilités des contrats intelligents, Liz Daldalian, responsable des services de sécurité chez ConsenSys, a mis en garde en précisant qu’il ne s’agit pas d’une « solution miracle » pour éradiquer tous les piratages de contrats intelligents. Néanmoins, il constitue un outil crucial que les développeurs peuvent utiliser pour rédiger des contrats intelligents plus sécurisés, atténuant ainsi les pertes potentielles dues aux attaques malveillantes.

La publication publique de l'outil « Diligence Fuzzing » de ConsenSys marque une étape importante dans les efforts pour améliorer la sécurité des contrats intelligents au sein de l'écosystème DeFi. En permettant aux développeurs d'identifier les vulnérabilités avant le déploiement des contrats, l'outil peut potentiellement sauver des millions de dollars perdus à cause de piratages et de brèches de sécurité. Bien qu'il ne fournisse pas une solution absolue à tous les défis de sécurité, il constitue un atout essentiel dans la lutte continue pour protéger la communauté Web3 contre les attaques malveillantes. Avec un nombre croissant de développeurs reconnaissant l'importance des outils de fuzzing et de sécurité, la voie vers un paysage DeFi plus sécurisé devient plus claire.