La mise à niveau Pectra d'Ethereum sur Sepolia fait face à des perturbations, un attaquant inconnu mine des blocs vides

La mise à niveau Pectra d'Ethereum, très attendue, a rencontré des perturbations sur le testnet Sepolia suite à une exploitation qui a conduit à la minage de blocs vides. La mise à niveau, déployée le 5 mars, a rencontré des problèmes quelques heures plus tard lorsque les développeurs ont remarqué des messages d'erreur sur leur nœud geth.

Selon un rapport depuis le développeur Ethereum Marius van der Wijden, l'équipe a découvert un comportement inattendu dans le contrat de dépôt qui s'est produit sur le testnet vers 7h30 UTC mercredi dernier. Au lieu de déclencher l'événement de dépôt attendu, le contrat a émis un événement de transfert incorrect.

“Peu de temps après l'activation du hard fork, nous avons dit à Jim McDonald d'envoyer un dépôt pour tester la fonctionnalité de retrait déclenchée par l'exécution ajoutée dans Pectra. Nous avons ensuite vu des messages d'erreur sur notre nœud geth et avons commencé à voir beaucoup de blocs vides être minés,” a expliqué van der Wijden.

Le message d'erreur aurait indiqué : « impossible d'analyser les données de dépôt : longueur de dépôt incorrecte : attendu 576, obtenu 32. » Cela signifiait qu'un transfert ERC-20 verrouillé par jeton du contrat de dépôt inattendu a été exécuté, perturbant le comportement attendu de la chaîne. 

Un attaquant inconnu exploite un cas d'angle manqué

Wijden a déclaré que les développeurs ont rapidement déployé une correction, mais un cas d'angle négligé a permis à un attaquant inconnu de profiter du système. L'exploiteur a envoyé un transfert de zéro jeton à l'adresse de dépôt et a réussi à déclencher à nouveau la même erreur, conduisant à la poursuite du minage de blocs vides.

“Nous avons vérifié le contrat de dépôt et avons confirmé que personne ne pouvait déclencher la fonctionnalité de dépôt (car elle est verrouillée par jeton et nous n'avons donné des jetons qu'à des parties de confiance pour Sepolia). Nous avons manqué un cas d'angle dans la spécification ERC20, bien,” a remarqué le développeur.

Initialement, les développeurs avaient soupçonné que l'erreur provenait d'un tiers de confiance validateur, mais ont ensuite réalisé que la transaction provenait d'un nouveau compte financé via un robinet. L'équipe d'Ethereum a ensuite travaillé à coordonner le déploiement de la correction sans diviser la chaîne. 

Wijden a déclaré qu'une publication hâtive aurait pu causer une fragmentation du réseau car les nœuds qui n'avaient pas été mis à jour n'auraient pas pu se connecter à la chaîne corrigée. Après avoir évité la crise, ils ont planifié un déploiement conjoint pour 14h00 UTC, ce qui a donné aux équipes le temps de se préparer.

Les développeurs ont découvert la faille après des investigations supplémentaires : la norme ERC-20 n'interdit pas les transferts de zéro token. Cela signifie que n'importe qui, quel que soit le nombre de tokens qu'il possédait, pouvait envoyer un transfert de zéro token. C'est ce qui a provoqué l'événement de dépôt.

Trois heures et demie avant la correction coordonnée, comme l'a décrit le développeur, Sepolia avait supposément produit « beaucoup de » blocs vides. Pour rétablir le fonctionnement normal en attendant, les développeurs ont supprimé les transactions déclenchant l'exploitation en les remplaçant par des transactions offrant une rémunération plus élevée. 

Les développeurs ont déployé une correction privée pour contenir l'attaque

L'équipe d'Ethereum a mis en œuvre une correction privée qui filtrait les transactions interagissant avec le contrat de dépôt. Étant donné les soupçons selon lesquels l'attaquant surveillait les chats des développeurs, ils ont décidé de ne pas publier la correction immédiatement. 

“La correction ne filtre que les transactions qui appellent directement le contrat de dépôt. Si nous avions publié la correction, l'attaquant aurait pu contourner notre mitigation en appelant le contrat depuis un autre contrat. Ces appels internes déclencheraient toujours l'événement, mais ils ne seraient pas faciles à filtrer lors de la création des blocs,” Wijden a rapporté.

Une fois qu'environ 10 % des nœuds du réseau étaient mis à jour, des blocs complets ont recommencé à apparaître. Cela a permis à la chaîne de fonctionner pendant que le correctif complet était préparé pour le déploiement.

À 14h00 UTC, tous les nœuds ont été mis à jour vers la nouvelle version contenant le correctif final. Quelques blocs plus tard, la transaction de l'attaquant a été minée avec succès, confirmant que tous les opérateurs de nœuds avaient implémenté le correctif. L'incident n'a pas affecté le mainnet d'Ethereum, car le problème était spécifique au contrat de dépôt à accès par token de Sepolia.

Cela a affecté tous les nœuds, car il s'agissait d'un conflit entre la spécification et l'implémentation du contrat de dépôt sur Sepolia

— MariusVanDerWijden (@vdWijden) mars 9, 2025

Interrogé par un utilisateur des réseaux sociaux X sur le fait que « l'attaquant avait quelque chose à gagner » en exploitant le problème du testnet, Wijden a répondu : «Non, ils n'avaient rien à y gagner.”

Les difficultés de prix d'Ethereum persistent : l'activité du marché est plus faible

Ethereum montre toujours des signes de faiblesse, perdant plus de 10 % de sa valeur au cours de la semaine dernière. La deuxième plus grande cryptomonnaie par capitalisation boursière a oscillé autour des 2 000 dollars, un niveau de support à trois mois que les observateurs du marché prévoient de voir baisser encore plus bas.

Selon les indicateurs techniques du marché, ETH est dans une tendance baissière continue, avec des sommets et des creux plus bas se formant aux côtés de moyennes mobiles baissières. Si Ethereum ne parvient pas à maintenir les 2 000 dollars, les analystes mettent en garde en disant que les prochains niveaux de support majeurs se situent entre 1 800 et 1 700 dollars. 

Bien que l'Indice de Force Relative (RSI) à 30,45 suggère un rebond potentiel à court terme, la résistance à 2 200 dollars est un niveau que la pièce n'a pas réussi à franchir depuis plus de 24 heures.