Un attaquant vide 1,6 million de dollars du Token of Power (TOP) lors d'une exploitation de l'Aragon DAO
- Un attaquant a exploité une faille de gouvernance DAO pour émettre des tokens et vider 944 WETH (1,58 million $) d'un pool de liquidités Balancer.
- En contrôlant légèrement plus de 50 % de l'offre totale de TOP, l'attaquant pouvait faire adopter et exécuter des propositions unilatéralement.
- L'absence de délai de mise en œuvre (timelock) a permis la création, l'approbation et l'exécution d'une proposition en une seule transaction.
Un attaquant a exploité une mauvaise configuration de gouvernance dans l'Aragon DAO Token of Power (TOP).
Ils auraient utilisé leur pouvoir de vote majoritaire pour émettre des tokens et vider environ 944 WETH, d'une valeur d'environ 1,58 million de dollars, d'un pool de liquidité Balancer V1 sur Ethereum.
Diverses sociétés de sécurité blockchain ont signalé l'incident, en s'appuyant sur le vecteur effectif, qui a montré que l'offre totale de tokens TOP n'était que de 16 384 tokens, et que l'attaquant en détenait légèrement plus de la moitié.
Comment l'exploitation du token TOP a-t-elle fonctionné ?
TOP est un MiniMeToken gouverné via l'infrastructure de vote d'Aragon. Selon l'analyse de Blockaid, l'attaquant a accumulé 8 192,000001 TOP, ce qui était largement suffisant pour franchir le seuil de 50 % nécessaire pour faire adopter unilatéralement les propositions de gouvernance.
En raison de l'absence de timelock dans l'application de vote Aragon de la DAO TOP, l'attaquant a pu créer une proposition, la faire voter et l'exécuter en une seule transaction.
BlockSec Phalcon a confirmé que la proposition adoptée a émis une grande quantité de nouveaux tokens TOP à l'adresse de l'attaquant. L'attaquant a ensuite utilisé ces tokens fraîchement émis pour vider le pool BPool TOP/WETH de Balancer V1, extrayant 944,2 WETH.
Il a été noté que le protocole de Balancer n'était pas lui-même vulnérable. Le pool était simplement l'endroit où l'attaquant a converti ses holdings TOP gonflés en WETH.
Comment l'attaquant a-t-il déplacé les fonds ?
Le portefeuille de l'attaquant, 0xff8eF7bC455a57e5893232203052Ce0232b39Fa2, a été financé via Tornado Cash. L'exploitation a été exécutée en une seule transaction via un contrat dédié, selon l'analyse on-chain de Blockaid.
Un scénario classique de prise de contrôle de la gouvernance
La cause racine de l'exploitation n'était pas un bug de contrat intelligent au sens traditionnel. Le token TOP a une offre relativement faible et une capitalisation boursière réduite, ce qui a rendu l'acquisition d'une participation de contrôle peu coûteuse.
Lorsque cela a été combiné avec la configuration de vote d'Aragon, qui permet la création, le vote et l'exécution de propositions dans le même bloc, l'attaquant n'a rencontré aucun obstacle majeur entre l'obtention du pouvoir majoritaire et le vidage des fonds.
La documentation propre d'Aragon sur la sécurité des DAO met en évidence les contrôles d'accès et l'importance de restreindre qui peut appeler des fonctions sensibles sur les contrats intelligents.
Dans cette même documentation, l'organisation a déclaré que les fonctions on-chain sont accessibles par défaut à tous et que l'accès autorisé « doit être restreint aux adresses autorisées » lorsque l'émission de tokens ou les mouvements de fonds sont impliqués.
Cependant, la configuration de TOP n'imposait pas de timelock ni de délai de quorum qui aurait pu donner aux autres détenteurs de tokens le temps de réagir.
Ce qu’il faut surveiller
Ni l'équipe Token of Power ni Aragon n'ont émis de déclaration concernant l'exploitation au moment de la publication.
Bien que Les WETH volés restent traçables on-chain, mais le financement du portefeuille de l'attaquant via Tornado Cash complique les perspectives de récupération. L'incident rappelle que les paramètres de gouvernance (timelocks, seuils de quorum, délais de proposition) ne sont pas des fonctionnalités de sécurité optionnelles pour les tokens à faible offre avec une exposition significative du trésor.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Comment l'attaquant a-t-il exploité le Token of Power ?
L'attaquant a acquis plus de 50 % de l'offre de 16 384 tokens TOP, puis a utilisé l'application de vote Aragon pour créer, approuver et exécuter une proposition de gouvernance en une seule transaction. Cette opération a généré de nouveaux tokens TOP adressés à son compte, qui ont été échangés contre 944,2 WETH provenant d'un pool Balancer V1.
Le protocole Balancer a-t-il été compromis lors de l'attaque ?
Non. Blockaid a confirmé que le protocole Balancer lui-même n'était pas à l'origine de la vulnérabilité. L'attaquant a utilisé uniquement le pool BPool TOP/WETH Balancer V1 comme point de sortie pour convertir les tokens émis en WETH.
Quel montant a été volé et les fonds peuvent-ils être récupérés ?
Environ 1,58 million de dollars en WETH ont été volés. Le recouvrement est compliqué par le fait que le portefeuille de l'attaquant a été financé via Tornado Cash, le protocole de mélange sanctionné.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
