Lido Finance suspend les dépôts en raison d'une faille de sécurité dans le pont ZKsync wstETH

Ethereum Lido Finance, le protocole de staking liquide, ainformé ses utilisateurs d'une potentielle faille de sécurité dans son contrat de point de terminaison de pont ZKsync wstETHtracajoutant qu'il a suspendu les nouveaux dépôts jusqu'à ce que le problème soit résolu. 

L'information, publiée sur X par Lido Finance, indique : « À ce jour, rien n'indique que cette faille ait été exploitée, et les détenteurs de wstETH sur ZKsync ne sont pas concernés. Aucun autre pont n'est affecté. »

Les retraits de ZKsync et les transferts de jetons n'ont pas été affectés. Néanmoins, la plateforme a réagi rapidement en suspendant les nouveaux dépôts de pont par « mesure de précaution ».

En quoi consiste exactement cette vulnérabilité et qui est concerné ?

Lido n'a pas communiqué publiquement la nature technique de la faille, se référant seulement à une « faiblesse potentielle » signalée dans letracde point de terminaison du pont ZKsync wstETH, la couche detracintelligent qui facilite le déplacement d'ETH enveloppé et mis en jeu entre le réseau principal Ethereum et le réseau ZKsync de couche 2.

Lido a intégré ZKsync comme cinquième déploiement de couche 2, développé en collaboration avec Matter Labs et l'équipe txSync pour construire des contrats intelligents de pontage wstETH canoniquestracLe pont ZKsync a été mis en service le 3 janvier 2024, suite à un vote de gouvernance de la DAO de Lido le mois précédent.

Lido dispose d'un mécanisme multisignature d'urgence qui lui permet de désactiver les dépôts et les retraits du côté ZKsync en cas de besoin, et il semble que ce levier ait été actionné dans ce cas précis.

Pourquoi un correctif ne peut-il pas être déployé sans un vote des instances dirigeantes ?

Lido a écrit : « Un correctif a été préparé, sera audité et déployé lors du prochain vote omnibus de gouvernance Lido sur la blockchain (fin mars/début avril), après quoi les dépôts reprendront. »

Le recours à un vote de gouvernance pour déployer le correctif reflète à la fois la structure décentralisée des opérations de Lido et les garanties procédurales intégrées à son processus de mise à niveau. Toutefois, pour les utilisateurs et les investisseurs, cela signifie également que le délai est tributaire des mécanismes de coordination sur la blockchain, une réalité qui a historiquement engendré des retards dans les protocoles de finance décentralisée. Lido a indiqué que des mises à jour seraient communiquées ultérieurement et que les dépôts reprendraient une fois le correctif opérationnel.

Cette annonce n'a pas amélioré le sort des jetons concernés, les marchés étant inquiets à l'idée d'une solution qui n'interviendra pas avant fin mars au plus tôt, voire début avril.

Le jeton de gouvernance natif de Lido, LDO, a chuté de plus de 3,5 % au cours des dernières 24 heures pour s'établir à 0,3057 $. Le ZK, jeton natif du réseau parent de ZKsync, a également reculé de plus de 3,1 % à 0,01863 $ sur la même période. Cependant, ces deux jetons étaient déjà en baisse avant l'annonce de Lido.

Ce protocole contrôle environ un tiers de l'ether mis en jeu sur le réseau Ethereum , ce qui en fait, et de loin, le principal opérateur de staking. Toutdentde sécurité, ou même la simple perception d'un tel incident, a des répercussions systémiques qui dépassent largement le cadre de l'intégration spécifique de ZKsync.

Pour l'instant, les détenteurs actuels de wstETH sur ZKsync peuvent se rassurer grâce aux garanties de Lido, tandis que les retraits restent pleinement opérationnels.

Cryptopolitan a rapporté plus tôt dans la journée qu'un autre projet, Neutron, un projet BTCFi qui offre Bitcoin des rendements sur leurs jetons mis en jeu, a également suspendu certains services jusqu'au 9 mars au moins après une mise à jour de sécurité indiquant qu '« un expert en sécurité informatique a signalé une vulnérabilité » dans son code.