L’Ethereum PoW a subit une cyber-attaque sur un smart-contract peu de temps après son lancement. En plus de problèmes techniques, cela a engendré un effondrement de la valeur de la nouvelle crypto.
En quoi consiste l’Ethereum PoW ?
L’EthereumPoW est issue de l’ancien système de blockchain de l’Ethereum dites Proof-of-Work ou bien preuve de travail en français. Suite à The Merge, certains ont décidé de créer une nouvelle crypto qui reprend les bases de l’Ethereum qui lui vient de passer en “Proof-to-stake”.
Lancée à la suite de The Merge, cette nouvelle crypto a eu des difficultés dés le début. En effet, certains utilisateurs ne parvenaient pas à lier leur wallet Metamask avec l’Ethereum PoW. Certains internautes ont découverts que le problème venait de l’ID qui n’était pas le bon.
— H.M (@HamzahM92) September 15, 2022
Ethereum PoW connait son premier piratage juste après son lancement
En plus des problèmes techniques, l’Ethereum a subit son premier piratage. L’entreprise spécialisée dans la cybersécurité notamment des blockchains, Blocksec à alerté d’une “attaque par relecture”. Ce type d’attaques, consiste à copier un flux de messages entre deux correspondants et relier le flux à une ou plusieurs parties. L’entreprise de sécurité a indiqué que “des transactions sur la blockchain proof-of-stake de l’Ethereum et l’application DeFi Gnosis avaient été ciblés par ce type d’attaques. “
Les attaques de relecture peuvent se produire lorsque des crypto-monnaies sont traitées comme étant le même actif, même si elles existent techniquement sur des blockchains complètement distinctes. Ici on parle de Wrapped Ether (WETH) et Ether PoW (ETHW).
BlockSec a déclaré à Blockworks que “l’attaque n’était pas une exploitation de relecture “au niveau de la chaîne” mais plutôt une exploitation résultant d’une vulnérabilité du contrat”. Cela signifie que ni Gnosis ni les réseaux Ethereum et ETHW n’ont été piratés. D’un autre coté, le “smart contract” d’ OmniBridge sur le fork de l’ETHW aurait versé des fonds par erreur.
Comment le hackeur a-t-il procédé ?
Dans un premier temps, le hackeur a transféré 200 Wrapped Ether (WETH), soit 271,716.23 de dollars (si on se réfère au cours actuel), via le protocole OmniBridge de la blockchain Ethereum vers le réseau Gnosis.
Le piratage a consisté à rejouer la même requête de transaction sur le fork Ethereum PoW pour recevoir 200 ETHW de la copie du “smart contract” OmniBridge.
Le marché de l‘ETHW a chuté d’environ 40 % après la divulgation du piratage. L’actif est passé de 8 à 5 dollars. Cependant, le marché de l’Ethereum PoW avait déjà chuté de 29,22 $ à 11,05 $ en seulement 2 jours après The Merge. On ne sait pas si l’attaquant a encaissé les 200 ETHW volés lors de l’attaque, mais aujourd’hui ils ne valent plus que 1000 dollars environ.
Cours de l’EHTW des 7 derniers jours
L’attaque a été rendue possible puisque l’OmniBridge de la chaîne PoW acceptait toujours les transactions qui faisaient référence au ” chainID ” de la blockchain Ethereum proof-of-stake. Cette variable servant d’identifiant unique pour les différents réseaux de blockchain. Le fork PoW utilise un chainID différent pour aider à séparer les actions entre les deux réseaux.
“En conséquence, le solde du contrat de chaîne déployé sur la chaîne PoW serait drainé“, écrit BlockSec.
Les chercheurs en sécurité avaient prédit avant le fork d’Ethereum PoW que de telles attaques étaient probables.
Gnosis se déresponsabilise du piratage
Le cofondateur de Gnosis, Martin Koppelmann, s’est voulu rassurant le réseau social Tweeter en annonçant que Gnosis et Ethereum n’étaient “en aucun cas affectés“.
“Nous ne soutenons pas la chaîne (ETHW) et ne nous considérons pas comme responsables de ce qui se passe sur cette chaîne“, a déclaré Koppelmann. Il a ajouté que “l’attaquant avait créé une fausse activité de pont pour drainer des fonds sur ETHW.”
Pour faire face à cette faille: “Une suggestion visant à désactiver les liens du pont avec ETHW, fermant ainsi cette faille de sécurité particulière, sera présentée à l’équipe de gouvernance qui supervise OmniBridge, a-t-il ajouté. BlockSec a averti dans un blog que des incidents similaires pourraient se produire ailleurs sur le réseau de l’Ethereum PoW, de quoi inquiéter les investisseurs.
ETHW Core, le groupe qui s’occupe d’ETHW, a confirmé dimanche que l’attaque impliquait une vulnérabilité du “contrat de pont” et avait notifié OmniBridge “par tous les moyens” pour les informer des risques. Cependant ils n’ont aucune reçu de réponse de leur part.
Had tried every way to contact Omni Bridge yesterday.
Bridges need to correctly verify the actual ChainID of the cross-chain messages.
Again this is not a transaction replay on the chain level, it is a calldata replay due to the flaw of the specific contract. https://t.co/bHbYR4b2AW pic.twitter.com/NZDn61cslJ
— EthereumPoW (ETHW) Official (@EthereumPoW) September 18, 2022
“Nous avons essayé de contacter OmniBridge par tous les moyens hier. Les ponts doivent vérifier correctement le ChainID réel des messages inter-chaînes. Encore une fois, il ne s’agit pas d’un rejeu de transaction au niveau de la chaîne, mais d’un rejeu de données d’appel en raison de la faille du contrat spécifique.”
En tout cas il est difficile de savoir comment l’Ethereum PoW va se relever de ce démarrage catastrophique. Cependant l’équipe a assuré “tout mettre en œuvre pour stabiliser la chaîne”
Pour en savoir plus:
- L’Ethereum PoW s’effondre de 55 % dès son lancement
- Ethereum : tout savoir sur la preuve d’enjeu (proof-of-stake, PoS) en 10 questions
Partager
Romaric Saint Aubert
Crypto-journaliste
