Énorme coup dur pour BadgerDAO, une plateforme décentralisée qui se vantait pourtant d’être « l’une des plateformes les plus sécurisées de la DeFI ». Alors qu’un hacker a réussi à entrer un script malveillant sur l’interface du site, ses utilisateurs déplorent plus de 120 millions de dollars de perte, siphonnés mercredi dernier. Les responsables de la plateforme accusent un hold-up sur le Web3, avec des moyens du Web 2.0.
L'un des utilisateurs a par ailleurs perdu près de 900 bitcoins (50 millions de dollars) en une seule transaction.
Piratage énorme, une technique d’intrusion originale
BadgerDAO est une plateforme décentralisée qui permet de stocker des bitcoins sur la blockchain Ethereum pour percevoir des intérêts. Aujourd’hui, elle a encore du mal à se remettre du vol de plus de 2 100 BTC et 151 ETH, appartenant tous à des particuliers ou à des employés de Badger. C’est en faisant appel à PeckShield, une société d’audit en cybersécurité, que l’on a pu le voile sur la technique de piratage employée.
D’habitude, une attaque de ce genre s’effectue au niveau des smart contracts, les protocoles qui rendent possibles les transactions sur les blockchains. Ici, le pirate a boudé cette option pour s’infiltrer directement sur l’interface du site. En ajoutant une fenêtre MetaMask avec quelques lignes de codes, l’intrus a ouvert un script malveillant.
Tous les utilisateurs ayant effectué une transaction sur le site à ce moment-là ont vu leurs fonds se déplacer vers l’adresse du pirate. Le script malveillant était lui-même très dur à détecter, car le pirate l’a fait fonctionner plusieurs fois par intermittence.
Le Web3 se repose trop sur des technologies du « vieux Web »
Les attaques « front end » de ce genre sont de plus en plus courantes, et les sites comme SushiSwap ou BadgerDAO en sont les plus récentes victimes. Pourtant, un utilisateur de BadgerDAO avait rapporté une anomalie, mais la plateforme n’avait pas donné suite à sa déclaration.
Selon des experts en cyberattaques, il y a plusieurs leçons à tirer de cette débâcle. Le Web3 fonctionne encore selon des protocoles du « vieux » Web, ce qui permet des intrusions de ce genre. Les systèmes d’authentification à deux étapes ne sont pas forcément inviolables et peuvent devenir obsolètes, car les pirates savent les contourner.
Pour ceux qui ont perdu 50 millions en quelques secondes, c’est une leçon qui passe mal. Pour le nombre d'adeptes grandissant de la finance décentralisée, c’est aussi une invitation à ne pas mettre tous ses œufs dans le même panier.
Source : The Verge
