Quelles failles de sécurité Web3 ont été exposées par le piratage de KelpDAO ?
- Les incidents de sécurité Web3 ont révélé que les applications interagissent rarement directement avec les chaînes, mais s'appuient sur des données RPC.
- La couche de données peut être défectueuse ou censurée, entraînant une disparité entre les données d'une application et les soldes sur la chaîne.
- La sécurité Web3 est une question de rapidité, et les protocoles doivent automatiser la réaction aux transactions suspectes.
Le piratage de KelpDAO a mis en lumière plusieurs failles dans la sécurité Web3. Le problème majeur était que les blockchains exécutaient parfaitement des transactions basées sur des données erronées.
La sécurité Web3 reste au premier plan en tant que moyen de reconstruire la confiance dans les protocoles DeFi. Le piratage de KelpDAO a eu des répercussions durables sur le prêt DeFi et a soulevé des questions sur la nécessité de renforcer la sécurité Web3.
La vague récente de piratages en avril peut amener les applications à réévaluer la manière dont elles accèdent aux données et autorisent les transactions. Des piratages similaires ont continué en mai, avec 930 000 $ perdus au cours du mois à ce jour. Récemment, Bisq Protocol a perdu 858 000 $ en raison d’une logique de protocole défectueuse et d’une attaque par faux client, selon DeFiLlama de données.
Les applications Web3 font face à un problème de vérification des données
Selon Victor Fei d'Ormilabs, la faille de KelpDAO est un exemple clair de la manière dont une application peut continuer à fonctionner, même si l'état de la blockchain ne correspond pas aux données.
Fei a expliqué que les applications ne se réfèrent pas toujours directement à la blockchain. Elles s'appuient plutôt sur des intermédiaires tels que les nœuds RPC, au lieu des données brutes on-chain. Cela est une exigence pour Ethereum et d'autres chaînes plus anciennes, qui ne sont plus accessibles directement pour la plupart des applications.
Avec une source de données limitée, un pont ne peut s'appuyer que sur un petit ensemble de nœuds RPC. Lorsque certaines sources sont compromises ou indisponibles, l'application peut fonctionner avec de mauvaises données, tandis que la chaîne sous-jacente continuera de considérer les transactions comme valides.
La plupart des applications Web3 modernes n'accèdent pas directement à la chaîne, mais s'appuient sur diverses formes d'indexation pour récupérer les informations pertinentes. L'indexation peut afficher des données erronées ou devenir un vecteur d'attaque direct.
L'exploitation de KelpDAO a révélé cette vulnérabilité en pleine lumière. Le processus de vérification faisait confiance à un nombre limité de sources RPC, et les attaquants ont détourné certaines de ces sources. Avec une couche de données défectueuse, la blockchain a traité les transactions comme d'habitude et a dépensé de vraies pièces en échange d'un solde fictif.
Le problème devient encore plus grave si des agents IA sont autorisés à agir sur la base d'une couche de données limitée et potentiellement défectueuse.
Comment renforcer la sécurité du Web3 ?
La plus grande faille de KelpDAO, Drift Protocol, et d'autres récentes attaques, réside dans la vitesse d'exécution. La plupart des transactions ont eu lieu immédiatement et ont été finalisées dans le bloc suivant, sans période de refroidissement ni vérifications supplémentaires. Le Web3 a vanté sa capacité à effectuer des transactions rapides et sans permission, mais cela permet également aux acteurs malveillants d'exécuter leurs vols avec rapidité.
« L'avenir de la sécurité du Web3 repose sur la vitesse. Nos données montrent que le piratage et le blanchiment sont rapides et peu coûteux, tandis que la réponse des équipes est lente et coûteuse », a déclaré Vladyslav Syrotin, responsable des enquêtes chez Global Ledger, à Cryptopolitan.
Syrotin estime que les projets Web3 devraient réduire leur temps de détection pour repérer les sorties inhabituelles, les baisses soudaines de liquidité ou les appels suspects aux contrats intelligents.
Selon Syrotin, les alertes et les blocages devraient être automatisés dans une seconde après une attaque, et les rapports des victimes ainsi que l'étiquetage des données devraient être prêts dans les 10 minutes. Actuellement, il faut des heures ou des jours pour totaliser les pertes et retracer les grappes de portefeuilles des attaquants.
Syrotin a ajouté qu'un cadre temporel plus lent, avec des alertes en 30 secondes et un étiquetage en quatre heures, peut aider à prévenir environ la moitié des incidents et à réduire les pertes.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hristina Vasileva
Hristina Vasileva se spécialise dans les actualités liées à la DeFi, aux entreprises et à l'économie. Elle est diplômée de l'Université de Sofia avec un master en philosophie, après avoir obtenu une licence de quatre ans en administration des affaires, journalisme et communication de masse. Elle a travaillé pour l'un des principaux journaux du pays, couvrant les matières premières et les résultats d'entreprises. Actuellement, Hristina est auteure contributrice chez Cryptopolitan.
