Des problèmes de sécurité détectés dans la solution Ethereum L2 Blast : Resonance Security

Blast, la nouvelle solution Ethereum Layer 2, suscite des inquiétudes en matière de sécurité, selon une étude rapport d'une entreprise de cybersécurité Resonance Security. Blast a rapidement gagné en popularité dans l'industrie des cryptomonnaies. Il promet des points, des airdrops, des jackpots, des rendements de staking natifs et un partage des revenus des frais de gaz. Mais Resonance estime que Blast devrait améliorer ses mesures de sécurité.

De son annonce à son lancement, Blast a accepté des dépôts d'ETH via un pont à sens unique. Cela permettait aux utilisateurs d'accumuler un rendement natif et des Blast Points, promettant aux premiers adoptants un accès à un futur airdrop. 

Malgré les critiques de grands investisseurs comme Paradigm, cette stratégie a boosté la popularité de Blast. Elle a attiré 600 millions de dollars la première semaine, dépassant le milliard de dollars en janvier 2024. À l'heure actuelle, la valeur totale bloquée (TVL) de Blast s'élève à $3.16 milliards, ce qui en fait le quatrième plus grand EVM L2.

Les utilisateurs peuvent déposer de l'ETH sur Blast en échange de tokens L2 liquides. L'ETH déposé est mis en staking dans les pools de staking Lido via les contrats intelligents de Blast, générant un taux d'intérêt de 4 %. 

Pour les stablecoins, les utilisateurs les pontent vers Blast pour obtenir de l'USDB, le stablecoin officiel de Blast, qui génère un rendement grâce au protocole de bons du Trésor de MakerDAO avec un taux d'intérêt de 5 %. L'USDB peut être échangé contre du DAI lors du pontage vers Ethereum.

Le Blast Gold est attribué aux dApps construites sur la chaîne, les récompensant pour l'utilisation des fonctionnalités natives de Blast, et est distribué manuellement toutes les 2 à 3 semaines ou lors d'événements jackpot.

Blast hérite des problèmes de sécurité

Selon Resonance, la dépendance de Blast à l'égard de protocoles DeFi tiers comme Lido et MakerDAO introduit des risques potentiels. Si l'un des pools générant des rendements ou des protocoles sur ces plateformes est compromis, les tokens associés des utilisateurs de Blast seront également affectés. Cette dépendance à la sécurité de Lido et MakerDAO pour protéger les fonds des utilisateurs pourrait entraîner des problèmes financiers pour les utilisateurs de Blast.

Précédemment, HTX Square a souligné a signalé que le contrat LaunchBridge de Blast (0x5f…a47d) n'est pas un pont de rollup mais un « contrat de garde protégé par une adresse multisig 3/5 ». Jarrod Watts de Polygon Labs a également soulevé des inquiétudes concernant ces adresses multisig, affirmant qu'elles sont nouvellement créées et que leurs propriétaires sont inconnus. 

CryptoHopper a remis en question l'affirmation de Blast d'être un L2, déclarant : « Blast manque des preuves de validité nécessaires pour une racine d'état L2 et ne dispose pas de mécanisme anti-fraude en place. » Resonance pense que le résumé des risques de Blast corrobore davantage ces préoccupations.

Resonance a également examiné les protocoles de sécurité de Lido et MakerDAO. MakerDAO n'a pas publié de audit de sécurité de ses contrats intelligents depuis trois ans, certaines audits datant de cinq ans. 

Cela est préoccupant car les contrats intelligents peuvent être vulnérables à des failles de sécurité nouvellement découvertes et devraient être audités périodiquement. Resonance indique qu'une requête rapide pour les CVE de contrats intelligents dans la base de données nationale des vulnérabilités du NIST a renvoyé 584 enregistrements publiés entre 2018 et 2024. Bien que des contrats spécifiques puissent ne pas être vulnérables à toutes ces CVE, ils sont susceptibles de l'être à certaines.

Maintenir la sécurité des contrats intelligents nécessite une approche multifacette, incluant des audits de sécurité avant le déploiement et périodiques, ainsi que des programmes de prime pour les bogues.

« Une communication régulière et des tests de sécurité conjoints peuvent également aider à valider ces normes et à les améliorer au fil du temps. »

Resonance Security

Les petits projets doivent être méticuleux dans le choix de leurs fournisseurs tiers. Le contrôle proactif des options tierces pour des normes de sécurité strictes peut éviter de nombreux maux de tête aux projets à long terme. Si les options tierces ne répondent pas aux normes requises du projet, le développement de solutions internes pourrait être une alternative plus sûre. Tant que le projet dispose des ressources pour le faire. 

Cela permet un contrôle total sur la sécurité. La formation de partenariats ou d'alliances avec d'autres projets peut aider à plaider collectivement pour de meilleures pratiques de sécurité auprès des fournisseurs tiers plus importants. Une united front aura plus d'influence que des efforts individuels, a déclaré Resonance.

Jai Hamid