OpenZeppelin révèle une « vulnérabilité de haute gravité » dans le portefeuille DeFi Argent

Une « vulnérabilité de haute gravité » a été découverte et corrigée dans le portefeuille Ethereum Argent, selon les principaux hackers white hat OpenZeppelin.

DivulguéVendrediALICE Henshaw, chercheuse en sécurité chez OpenZeppelin, a découvert une vulnérabilité dans Argent qui aurait permis de drainer les fonds des utilisateurs des portefeuilles qui ne disposaient pas de la fonction « gardien » d'Argent.

Selon un OpenZepplinarticle de blog et communiqué de presse, la nouvelle de la À découvrir a été partagée pour la première fois avec Argent le 12 juin :

« Les recherches d'OpenZeppelin ont révélé une erreur dans la dernière version des contrats intelligents d'Argent qui permettrait à n'importe qui de déclencher le processus de récupération du portefeuille sans signature – sur n'importe quel portefeuille sans gardien – dès que le portefeuille est mis à niveau. »

En cas d'attaque, les utilisateurs n'avaient que 36 heures pour empêcher le drainage des fonds de leur portefeuille. Même dans ce délai, ils pouvaient voir leurs fonds gelés par une attaque par déni de service (DoS), selon OpenZeppelin.

Selon Henshaw, la vulnérabilité provient d'une mise à jour du portefeuille du 30 mars. OpenZeppelin a indiqué que 329 portefeuilles contenant 162 jetons d'Ether (ETH) et de la Finance décentralisée (DeFi) non divulgués étaient menacés. 5 513 autres portefeuilles étaient également vulnérables après la mise à jour vers le nouveau logiciel Argent, précise le blog.

Aucun fonds Argent n'a été affecté et un correctif a été publié, selon l'entreprise. Henshaw a reçu 25 000 dollars de DAI .

« Seuls 61 portefeuilles sans Guardians et avec la mise à jour concernée étaient menacés », a déclaré Matthew Wright, porte-parole d'Argent, à CoinDesk. « Notre modèle de sécurité leur permettait de bloquer le portefeuille dans les 36 heures en appuyant simplement sur « Annuler » dans l'application. Aucun fonds n'a été perdu. Nous pensons que cela met en évidence les avantages d'un modèle de sécurité open source et nous sommes heureux de récompenser OpenZeppelin pour son travail. »

Argent a reconnu la vulnérabilité dans un tweet vendredi matin, remerciant OpenZeppelin pour son travail :

En mars,Argent a levé 12 millions de dollars dans une série A menée par Paradigm Ventures. Le portefeuille s'intègre nativement aux produits DeFi populaires tels que Maker et Compound.

« La vulnérabilité découverte par nos chercheurs en sécurité aurait pu entraîner la perte de contrôle des fonds de nombreux utilisateurs lors de la mise à jour vers la dernière version du portefeuille Argent », a déclaré Demian Brener, PDG d'OpenZeppelin, dans un communiqué. « L'équipe Argent a réagi QUICK pour corriger ce problème afin qu'aucun fonds utilisateur ne soit impacté. »