Le fondateur d'Ethereum répond à l'exploitation de zkLend et met en lumière le mécanisme de confidentialité de Railgun

Le cofondateur d'Ethereum, Vitalik Buterin, a félicité le protocole de confidentialité Railgun pour avoir empêché avec succès un attaquant de blanchir des fonds volés. Sa réponse met en lumière Railgun, un mécanisme de pool de confidentialité qui vise à permettre la confidentialité financière tout en mettant en œuvre des mesures pour enrayer la fraude généralisée.

Le 12 février, un attaquant a exploité un problème de précision d'arrondi chez zkLend, un protocole de marché monétaire sur Starknet, volant un montant de 3 600 ETH, équivalant à 9,5 millions de dollars à l'époque. Le hacker a augmenté le « lending_accumulator » en déposant et en retirant continuellement du wstETH, puis en transférant les actifs vers Ethereum.

De plus, lors du transfert du montant volé vers un protocole axé sur la confidentialité, Railgun, qui utilise des preuves à divulgation nulle de connaissance (zero-knowledge proof), l'attaquant n'a pas pu gérer les actifs. La fonction Preuves Privées d'Innocence de Railgun a également filtré les fonds illicites pour qu'ils n'entrent pas dans le pool de confidentialité.

Les actifs volés sont toujours dans le portefeuille du hacker, qui a été marqué par les scanners de blockchain. Dans un message publié jeudi, Buterin a répondu à la réponse de Railgun, affirmant qu'il s'agit de l'une des meilleures démonstrations de pools de confidentialité fonctionnant comme prévu. Il a également souligné que le système ne permettait pas l'exécution d'opérations illégales sans entraîner de surveillance ou de portes dérobées.

Les pools de confidentialité comme solution de conformité

L'incident illustre la préoccupation actuelle concernant l'application de la réglementation aux technologies améliorant la confidentialité basées sur la blockchain. Récemment, des efforts ont été déployés pour fermer les mélangeurs de cryptomonnaies, y compris Tornado Cash et Bitcoin Fog, qui sont strictement liés au blanchiment d'argent. Contrairement à d'autres mélangeurs, Railgun suit une approche basée sur la conformité qui lui permet de bloquer tout fonds lié à des activités illégitimes.

L'équipe de zkLend a tenté de contacter le hacker et de conclure un accord pour conserver 10 % de l'argent volé et rendre le reste. Cependant, le hacker n'a pas encore répondu.

« Au hacker : Nous comprenons que vous êtes responsable de l'attaque d'aujourd'hui contre zkLend. Vous pouvez conserver 10 % des fonds en tant que prime de whitehat, et renvoyer les 90 % restants, soit exactement 3 300 ETH, à cette adresse Ethereum : 0xCf31e1b97790afD681723fA1398c5eAd9f69B98C »

zkLend

Actuellement, le personnel de sécurité de StarkWare, de la Starknet Foundation, de Binance Security et d'autres sociétés d'analyse surveillent cette adresse. Buterin a fait ces commentaires après que le chercheur en menaces Vladimir S. ait signalé que les hackers qui ont piraté zkLend visaient à les blanchir via Railgun. Le protocole a lancé l'alarme et a rejeté la transaction, prouvant ainsi l'efficacité du protocole pour enrayer les abus.

Le piratage de zkLend met en lumière la question opportune de la confidentialité et de la conformité dans l'espace décentralisé. Bien que la transparence soit utile à des fins de sécurité, exposer les fonds volés au grand livre public pourrait poser problème aux détenteurs de portefeuilles ordinaires en ce qui concerne leur anonymat financier.

Buterin a plaidé en faveur de l'utilisation d'outils de confidentialité qui ne portent pas atteinte aux normes de conformité. En 2023, il a coécrit un document de recherche sur Privacy Pool, un cadre qui facilitera les transactions privées tout en décourageant les activités criminelles.

Pour les développeurs qui ne soutiennent pas le système de filtrage de Railgun, Buterin suggère qu'ils établissent des pools de confidentialité avec différentes conditions de filtrage. Cependant, ces options doivent être soutenues par une communauté disposant d'une protection robuste de l'anonymat.