|
Getting your Trinity Audio player ready...
|
Dernière modification effectuée le 26.09.2023 12:36
L’écosystème DeFi a muté d’un écosystème centré sur Ethereum à un paradigme multichaine. Pour répondre à ce nouveau paradigme, de nombreuses solutions de bridge, ou pont ont vu le jour pour transférer les fonds entre les blockchains. Cependant, ces derniers peuvent être des cibles privilégiées des hackers. La blockchain Harmony l’a appris à ses dépens avec le hack de son pont Horizon.
100 millions de $ dérobés sur le pont Horizon d’Harmony
Harmony est une blockchain à smart contract dit EVM-compatible. Par souci d’interopérabilité avec le reste de la DeFi, Harmony a déployé sa propre solution de bridge intitulée Horizon.
En pratique, Harmony dispose de deux ponts. Nous avons le pont Horizon qui permet de relier sa blockchain aux blockchains Ethereum (ETH) et BNB Smart Chain (BNB). Ainsi qu’un autre pont permettant de relier Harmony au réseau Bitcoin (BTC).
En savoir plus sur : Plus de $600 millions subtilisés du réseau Ronin (Axie Infinity).
Tôt ce matin, les équipes d’Harmony ont averti la communauté que leur pont Horizon avait été la cible d’un hack. Au total, 592 WBTC ont été dérobés par l’attaquant, soit plus de 100 millions de dollars au cours actuel.
Heureusement, cette attaque se restreint au pont Horizon et n’a, semblerait-il, pas impacté le pont Bitcoin.
« Notez que cela n’a pas d’impact sur le pont BTC sans confiance ; ses fonds et ses actifs stockés dans des coffres-forts décentralisés sont en sécurité pour le moment. »
Rapidement, les équipes ont mis en pause l’Horizon Bridge afin de limiter les dégâts. Celles-ci ont également indiqué avoir commencé à « travailler avec les autorités nationales et les spécialistes de la police scientifique » dans le but d’identifier l’auteur de l’attaque.
Comment fonctionnent ces ponts ?
Avant d’entrer dans les détails de l’attaque, penchons-nous sur le fonctionnement de ces fameux bridge ou pont.
En pratique, ces derniers fonctionnent grâce à une panoplie de smart contracts déployés sur les diverses blockchains à relier.
Ainsi, voici les étapes réalisées lorsqu’un utilisateur souhaite envoyer des fonds d’Ethereum vers Harmony :
- L’utilisateur va déposer des fonds sur le smart contract du bridge déployé sur Ethereum.
- Un comité de validateur va alors vérifier l’existence du dépôt sur Ethereum et bloquer les fonds sur le contrat.
- Une fois les fonds bloqués sur le contrat, la même quantité de jetons sera émise. Ces jetons émis sont des jetons dits tokenisés, qui permettent de représenter un jeton qui n’est pas natif de la blockchain Harmony.
Par conséquent, les smart contracts déployés de part et d’autre du pont détiennent de grandes quantités de jetons. Cela fait de ces contrats des cibles privilégiées pour les hackers de tous horizons.
Déroulement du hack du bridge Horizon
Pour le moment, peu d’informations ont été partagées par les équipes d’Harmony vis-à-vis du hack d’Horizon. Cependant, comme la blockchain est un livre de compte public, de nombreux cyber-enquêteurs se sont penchés sur le sujet.
Ainsi, les équipes de @RugDocIO ont mené l’enquête et ont publié leurs trouvailles dans un thread sur Twitter.
Après enquête, ces derniers soupçonnent la piste de la compromission de clé privée. En effet, le smart contract du pont Horizon est contrôlé par un wallet multi-signature ou multisig à 5 parties.
En pratique, un wallet multi-signature est contrôlé par un nombre défini d’adresses, appartenant à des personnes différentes.
Cependant, pour signer une transaction, le contrat du pont Horizon ne nécessitait que l’approbation de 2 des 5 adresses composant le multisig.
Ainsi, en regardant de plus près la transaction ayant permis le hack d’Horizon, les équipes de @RugDocIO ont remarqué que celle-ci avait été signée par 2 des 5 wallets du multisig.
Deux thèses sont alors possibles :
- Il s’agit d’un inside job, dans lequel 2 des détenteurs du multisig ont décidé de dérober les fonds (théorie peu probable).
- Les deux adresses ayant servi à signer la transaction de hack ont été compromises et leurs détenteurs originels en ont perdu le contrôle (théorie la plus probable).
Par la suite, les équipes d’Harmony ont modifié les règles du smart contract d’Horizon afin que celui-ci nécessite au moins 4 adresses de la multisig pour signer une transaction.
Les équipes d’Harmony vont probablement tenter d’entrer en contact avec l’attaquant afin de négocier une restitution des fonds en échange d’une récompense. Reste à savoir si celui-ci sera enclin à restituer les fonds, ou s’il préférera garder le pactole au risque d’être retrouvé par les forces de l’ordre.
