La société de sécurité blockchain SlowMist a attribué le drainage de collatéral de deux portefeuilles multisig Safe à une vulnérabilité d'un composant tiers connu sous le nom de FlashLoopAdapter, indiquant que la faille se situe en dehors de l'infrastructure principale des portefeuilles Safe. Cette découverte déplace l'attention des contrats multisig largement utilisés eux-mêmes vers les outils périphériques qui leur sont connectés.

Ce que SlowMist a rapporté sur la faille de FlashLoopAdapter

Selon SlowMist, la vulnérabilité ne se trouvait pas dans le contrat multisig principal de Safe, mais dans un adaptateur tiers appelé FlashLoopAdapter, et la société a directement attribué la perte de collatéral à ce composant, plaçant la cause racine en dehors de l'infrastructure principale du portefeuille. Deux portefeuilles multisig Safe ont été identifiés comme touchés, avec un drainage de collatéral résultant de la faille signalée.

SlowMist n'a pas, dans les informations disponibles, confirmé le montant exact perdu en dollars ou en tokens, l'identité de l'attaquant, ni la chronologie précise de l'incident. Dans un cas comparable, CryptoSlate a rapporté que des pirates avaient exploité un outil tiers lié à Aave pour voler 114 ETH, illustrant un schéma récurrent d'exploits d'adaptateurs périphériques ciblant l'infrastructure adjacente à la DeFi.

Ce que le rapport confirme et ne confirme pas

L'attribution de SlowMist se concentre sur FlashLoopAdapter comme composant défaillant. Le rapport, dans sa version actuelle, ne qualifie pas l'incident comme une défaillance de la logique de signature multisig de Safe ou de son architecture de module guardian. Les affirmations concernant le chemin d'exploit spécifique, les versions de déploiement touchées ou l'état du correctif restent non confirmées dans l'attente des orientations officielles de remédiation des équipes de projet concernées.

Pourquoi le risque des adaptateurs tiers compte pour les portefeuilles multisig Safe

Les portefeuilles multisig Safe sont largement utilisés dans les protocoles DeFi pour la conservation du collatéral, la gestion des actifs de trésorerie et l'exécution des transactions de gouvernance. Les conceptions multisig exigent plusieurs clés autorisées pour approuver chaque transaction, de sorte qu'aucune clé compromise isolément ne puisse déplacer les fonds seule. Lorsque les équipes intègrent des adaptateurs tiers, ces composants héritent des permissions d'interagir avec les actifs détenus par le portefeuille, élargissant la surface d'attaque au-delà de ce que couvrent les contrats audités de Safe eux-mêmes.

Le cas FlashLoopAdapter, tel que décrit par SlowMist, démontre qu'une faille dans une intégration périphérique peut suffire à drainer le collatéral même lorsque la logique multisig sous-jacente est saine. Les chercheurs en sécurité ont signalé ce schéma à plusieurs reprises : dans une pile DeFi composable, le maillon le plus faible est rarement le protocole principal. équipes gérant des portefeuilles de grande valeur ayant intégré des outils d'adaptateur similaires devraient considérer ce rapport comme une incitation à une révision immédiate des permissions, une considération également pertinente pour tout protocole surveillant son exposition à des outils tiers disposant d'un accès élevé aux actifs du portefeuille.

Limites de portée

La faille signalée concerne spécifiquement FlashLoopAdapter. Rien dans les preuves actuelles ne permet de considérer tous les déploiements de portefeuilles Safe, ou toutes les intégrations d'adaptateurs, comme compromis. Les équipes n'utilisant pas FlashLoopAdapter devraient néanmoins auditer leurs propres permissions d'intégration tierce dans le cadre de leurs pratiques générales.

Ce que les équipes de portefeuilles et de protocoles peuvent examiner après le rapport

Le rapport établit que SlowMist attribue le drainage de collatéral à une faille de FlashLoopAdapter, un composant tiers, plutôt qu'aux contrats multisig principaux de Safe, et que deux portefeuilles multisig Safe auraient été touchés, tandis que les montants des pertes et un chemin d'exploit confirmé n'ont pas été vérifiés dans les sources disponibles. Les équipes utilisant des adaptateurs tiers avec des portefeuilles Safe détenant du collatéral devraient auditer les permissions d'intégration et surveiller les canaux officiels des projets pour les orientations de remédiation.

Priorités de révision immédiates

Toute équipe exploitant un multisig Safe ayant intégré FlashLoopAdapter, ou des adaptateurs de boucle de flash-loan similaires — des outils généralement utilisés pour automatiser des boucles répétées de collatéralisation et d'emprunt sur les protocoles de prêt — devrait auditer les permissions que ces contrats détiennent sur les actifs du portefeuille, révoquer les approbations inutiles, et recouper les adresses de contrats avec les conclusions publiées par SlowMist dès qu'une divulgation complète sera disponible. Pour des étapes de remédiation vérifiées, les équipes devraient suivre directement les canaux officiels de SlowMist et les avis de sécurité de l'écosystème Safe plutôt que de se fier aux résumés secondaires.

La leçon plus large s'étend à la gestion des trésoreries des créateurs et des protocoles : à mesure que l'infrastructure DeFi devient plus composable, la posture de sécurité d'un portefeuille multisig n'est aussi forte que l'intégration la moins auditée qu'il autorise. Les équipes de protocoles gérant des trésoreries on-chain ou des pools de collatéral devraient instaurer une routine de révision des permissions des adaptateurs, indépendamment de la signalisation d'un incident spécifique sur leur pile. Les événements de sécurité de cette catégorie, tels que suivis par la communauté de recherche en sécurité Web3, désignent constamment les intégrations tierces comme point d'entrée plutôt que des défaillances des protocoles principaux.

Avertissement : cet article est fourni à titre informatif uniquement et ne constitue pas un conseil financier ou d'investissement. Les marchés des cryptomonnaies et des actifs numériques comportent des risques importants. Faites toujours vos propres recherches avant de prendre des décisions.