La société de sécurité blockchain SlowMist a signalé une perte déclarée de 59,8 K$ impliquant ce qu'elle a décrit comme un système de smart wallet de type Argent, selon une publication attribuée à l'équipe SlowMist sur X. Cette divulgation souligne l'exposition sécuritaire que peuvent entraîner les architectures de portefeuilles programmables, bien que la société n'ait pas publiquement confirmé de cause profonde ni identifié l'ampleur des utilisateurs touchés.

Ce que SlowMist a rapporté

SlowMist, une société qui surveille et divulgue régulièrement les incidents de sécurité on-chain, a publié les détails d'une perte de 59,8 K$ liée à un système de smart wallet de type Argent. Le rapport attribue la perte à cette architecture de portefeuille spécifique sans préciser si la faute réside dans le logiciel du portefeuille lui-même, dans une intégration tierce connectée ou dans la configuration d'un utilisateur individuel.

La société a encadré la perte autour du système de portefeuille intelligent plutôt que de nommer une vulnérabilité ou une méthode d'exploitation spécifique. En l'absence de divulgations supplémentaires, le chiffre de 59,8 K$ représente la valeur déclarée des pertes au moment de l'incident, et non un total confirmé et vérifié de manière indépendante.

Ce rapport s'inscrit dans une posture de surveillance plus large que SlowMist maintient sur de multiples protocoles et types de portefeuilles. La société avait précédemment signalé une perte déclarée de 86 K$ en tokens UNCX liée à une faille de VestingManager, ainsi qu'une perte de 5,08 ETH résultant d'un problème de calcul dans la fonction actualizeFee du Set Protocol.

Pourquoi le cadrage « smart wallet » importe pour la sécurité

Les smart wallets de type Argent diffèrent des comptes détenus en externe (EOA) classiques en ce qu'ils fonctionnent sur des smart contracts programmables plutôt que sur une seule clé privée. Dans ce modèle, souvent appelé abstraction de comptes, le comportement, les permissions et les chemins de mise à niveau d'un portefeuille sont définis dans du code pouvant interagir avec d'autres contrats on-chain, des gardiens (adresses ou parties chargées des fonctions de sécurité et de récupération) et des modules de récupération. Ce modèle sous-tend des fonctionnalités couramment associées aux smart wallets, notamment la récupération sociale et les contrôles fins sur ce que les applications connectées peuvent faire avec un compte.

Cette programmabilité est également une source d'exposition potentielle. Le profil de sécurité d'un smart wallet dépend de l'implémentation spécifique, des permissions accordées aux applications connectées et de l'audit et de la mise à jour des modules intégrés. Un module mal configuré, une intégration non auditée ou une approbation permissive peuvent chacun créer un vecteur de perte, même lorsque le produit de portefeuille sous-jacent est solide.

Le rapport de SlowMist n'établit pas que le logiciel d'Argent lui-même a été compromis. L'étiquette « de type Argent » désigne une architecture de portefeuille, pas nécessairement une défaillance produit d'Argent. Des modèles de conception similaires sont utilisés par d'autres implémentations de smart accounts, ce qui signifie que ce cadrage décrit une classe de portefeuilles plutôt qu'un seul fournisseur.

SlowMist avait précédemment documenté comment les intégrations de portefeuilles à smart contracts peuvent introduire des surfaces de risque inattendues. Dans un cas antérieur, une faille de FlashLoopAdapter avait drainé les garanties d'un portefeuille multisig basé sur Safe, un incident démontrant comment un adaptateur périphérique, plutôt que le contrat de portefeuille central, peut devenir le maillon le plus faible d'un système complexe.

Ce qui reste inconnu, et ce que les utilisateurs peuvent faire

Le rapport actuel laisse plusieurs questions essentielles sans réponse. Le mécanisme de l'incident n'a pas été divulgué : on ignore si la perte provient d'un bug de smart contract, d'une clé de gardien compromise, d'une approbation malveillante, d'une interaction de phishing ou d'un autre vecteur. Le réseau concerné, l'actif précis perdu, le nombre d'utilisateurs touchés et les éventuelles mesures de remédiation en cours ne sont pas davantage confirmés dans le rapport disponible.

Les utilisateurs exploitant des smart wallets avec des ensembles de permissions complexes ou plusieurs applications connectées peuvent considérer cette divulgation comme une invitation à auditer leurs propres configurations plutôt que comme un motif d'agir de manière irréversible. Examiner quelles adresses détiennent des rôles de gardien ou de récupération, vérifier quelles applications décentralisées (dApps) disposent d'approbations de tokens actives et révoquer les permissions devenues inutiles sont des mesures à faible risque et réversibles qui réduisent la surface d'attaque, indépendamment de cet incident.

Toute personne estimant avoir été touchée doit se fier aux communications officielles de SlowMist ou du fournisseur de portefeuille, et non à des messages non sollicités, à des comptes sur les réseaux sociaux ou à des services de récupération. Les arnaques usurpant l'identité d'équipes de support suivent régulièrement les divulgations publiques de pertes de portefeuilles, et interagir avec elles tend à aggraver les dommages plutôt qu'à les réparer.

SlowMist n'a pas indiqué si elle prévoit de publier un post-mortem complet ni si des fonds supplémentaires restent menacés. Les utilisateurs peuvent suivre le compte X officiel de la société et son site web pour d'éventuelles divulgations complémentaires avant de tirer des conclusions sur ce que la perte de 59,8 K$ signifie pour la sécurité des smart wallets de manière plus générale.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques présentent des risques importants. Effectuez toujours vos propres recherches avant de prendre des décisions.