Les meilleures analyses crypto directement dans votre boîte mail.
Un attaquant dérobe 1,6 million de dollars au Token of Power (TOP) grâce à une faille de sécurité exploitée par Aragon DAO
- Un attaquant a exploité une faille de gouvernance de la DAO pour créer des jetons et retirer 944 WETH (1,58 million de dollars) d'un pool de liquidités Balancer.
- En contrôlant un peu plus de 50 % de l'offre de jetons TOP, l'attaquant pouvait faire passer et exécuter des propositions unilatéralement.
- L'absence de délai a permis la création, l'approbation et l'exécution de la proposition en une seule transaction.
Un attaquant a exploité une erreur de configuration de gouvernance dans le Token of Power (TOP) Aragon DAO.
Ils auraient utilisé leur pouvoir de vote majoritaire pour créer des jetons et retirer environ 944 WETH, soit environ 1,58 million de dollars, d'un pool de liquidités Balancer V1 sur Ethereum.
Plusieurs sociétés spécialisées dans la sécurité des blockchains ont signalé l'dent, en s'appuyant sur le vecteur d'attaque, qui a montré que l'offre totale de jetons TOP n'était que de 16 384 jetons, et que l'attaquant en détenait un peu plus de la moitié.
Comment fonctionnait l'exploit du jeton TOP ?
TOP est un MiniMeToken géré par l'infrastructure de vote d'Aragon. Selon l'analyse de Blockaid, l'attaquant a accumulé 8 192,000001 TOP, ce qui était largement suffisant pour lui permettre de franchir le seuil de 50 % requis pour faire adopter unilatéralement des propositions de gouvernance.
Du fait que l'application de vote Aragon sur la DAO de TOP ne comportait aucun verrouillage temporel, l'attaquant a pu créer une proposition, la faire voter et l'exécuter au sein d'une seule transaction.
BlockSec Phalcon a confirmé que la proposition adoptée a permis de créer une grande quantité de nouveaux jetons TOP à l'adresse de l'attaquant. Ce dernier a ensuite utilisé ces jetons pour vider le pool TOP/WETH Balancer V1, entrac944,2 WETH.
Il a été constaté que le protocole de Balancer n'était pas vulnérable en lui-même. Le pool servait simplement de plateforme de conversion pour l'attaquant de ses avoirs TOP surévalués en WETH.
Comment l'attaquant a-t-il transféré les fonds ?
Le portefeuille de l'attaquant, 0xff8eF7bC455a57e5893232203052Ce0232b39Fa2, a été approvisionné via Tornado Cash. L'attaque a été exécutée en une seule transaction via un contrat dédiétracselon l'analyse de la blockchain effectuée par Blockaid.
Un scénario de prise de contrôle de la gouvernance digne d'un manuel
La cause profonde de l'exploitation n'était pas un bug detracintelligent au sens traditionnel du terme. Le token TOP a une offre relativement faible et une faible capitalisation boursière, ce qui rendait l'acquisition d'une participation majoritaire peu coûteuse.
Lorsque cela a été combiné avec la configuration de vote d'Aragon, qui permet la création, le vote et l'exécution de propositions au sein d'un même bloc, l'attaquant n'a rencontré aucun obstacle majeur entre l'obtention du pouvoir majoritaire et le détournement des fonds.
La documentation d'Aragon sur la sécurité des DAO met en évidence les contrôles d'accès et l'importance de restreindre les personnes autorisées à appeler des fonctions sensibles sur les contratstrac.
Dans cette même documentation, l'organisation a déclaré que les fonctions on-chain sont accessibles à tous par défaut et que l'accès autorisé « doit être limité aux adresses autorisées » lorsque la création de jetons ou les mouvements de fonds sont impliqués.
Cependant, la configuration de TOP n'imposait pas de délai de verrouillage temporel ou de quorum qui aurait pu donner aux autres détenteurs de jetons le temps de réagir.
Que regarder
Ni l'équipe de Token of Power ni Aragon n'ont publié de déclaration concernant cette faille au moment de la publication.
Bien que les WETH volés soient toujours tracsur la blockchain, l' Cash approvisionnement du portefeuille de l'attaquantdent rappelle que les paramètres de gouvernance (verrouillages temporels, seuils de quorum, délais de proposition) ne sont pas de simples mesures de sécurité optionnelles pour les jetons à faible offre présentant une exposition significative à la trésorerie.
Les plus grands experts en cryptomonnaies lisent déjà notre newsletter. Envie d'en faire partie ? Rejoignez-les !
FAQ
Comment l'attaquant a-t-il exploité le Token of Power ?
L'attaquant a acquis plus de 50 % de l'offre de 16 384 jetons TOP, puis a utilisé l'application de vote d'Aragon pour créer, approuver et exécuter une proposition de gouvernance dans une seule transaction qui a émis de nouveaux jetons TOP à son adresse, lesquels ont été échangés contre 944,2 WETH à partir d'un pool Balancer V1.
Le protocole de Balancer a-t-il été compromis lors de l'attaque ?
Non. Blockaid a confirmé que le protocole Balancer lui-même n'était pas à l'origine de la vulnérabilité. L'attaquant a utilisé le pool de bits TOP/WETH Balancer V1 uniquement comme point de sortie pour convertir les jetons émis en WETH.
Quel montant a été volé et les fonds peuvent-ils être récupérés ?
Environ 1,58 million de dollars en WETH ont été dérobés. La récupération est compliquée par le fait que le portefeuille du pirate a été alimenté via Tornado Cash, le protocole de mixage autorisé.
Avertissement : Les informations fournies ne constituent pas un conseil en investissement. CryptopolitanCryptopolitan.com toute responsabilité quant aux investissements réalisés sur la base des informations présentées sur cette page. Nous voustronrecommandons vivement d’effectuer vosdent et/ou de consulter un professionnel qualifié avant toute décision d’investissement.
Hannah Collymore
Hannah est rédactrice et éditrice, forte d'une expérience de près de dix ans dans la rédaction de blogs et la couverture d'événements liés aux cryptomonnaies. Chez Cryptopolitan, elle contribue à la page d'actualités en rédigeant des articles et en analysant les dernières évolutions de la finance décentralisée DeFi, des comptes gérés par les utilisateurs (RWA), de la réglementation des cryptomonnaies, de l'intelligence artificielle (IA) et des technologies de pointe. Elle est diplômée en administration des affaires de l'université Arcadia.
- Quelles cryptomonnaies peuvent vous faire gagner de l'argent ?
- Comment renforcer la sécurité de votre portefeuille (et lesquels valent vraiment la peine d'être utilisés)
- Stratégies d'investissement peu connues utilisées par les professionnels
- Comment débuter en investissement crypto (quelles plateformes d'échange utiliser, quelles cryptomonnaies acheter, etc.)