Switchboard, le protocole d'oracle multi-chaînes qui fournit des données de prix aux applications décentralisées sur plusieurs blockchains, a interrompu ses déploiements basés sur Move après avoir découvert ce qu'il a décrit comme une compromission de sécurité potentielle. Les réseaux concernés incluent Aptos, Sui, IOTA et Movement.

L'arrêt, annoncé lors de la transition entre le 28 et le 29 août, constitue l'un des incidents de niveau oracle les plus graves de ces derniers temps — et sur au moins un réseau, les dégâts n'ont pas été théoriques.

Ce qui s'est passé sur IOTA

Un attaquant a exploité une clé d'oracle compromise pour manipuler le flux de prix IOTA, en fixant temporairement le prix du token à 10 millions de dollars.

Avec le flux affichant un prix IOTA follement gonflé, l'attaquant a pu frapper environ 4,94 millions de VUSD via le protocole Virtue CDP. Les protocoles CDP (collateralized debt position, position de dette adossée à des garanties) permettent aux utilisateurs de bloquer des actifs et d'emprunter des stablecoins contre ceux-ci — et lorsque l'oracle indique que la garantie vaut 10 millions de dollars par token, le protocole autorise un emprunt en conséquence.

Les conséquences ont touché directement 45 utilisateurs via des liquidations. Des adresses d'échange ont été gelées en réaction, et le protocole Virtue CDP lui-même a été arrêté.

L'ampleur de l'arrêt

La décision de Switchboard d'interrompre toutes les implémentations basées sur Move suggère que la vulnérabilité pourrait être architecturale plutôt que propre à un réseau. Move est le langage de programmation développé à l'origine chez Meta (alors Facebook) pour le projet Diem ; il sous-tend aujourd'hui Aptos, Sui et leurs écosystèmes dérivés, y compris Movement et la nouvelle infrastructure d'IOTA.

Le protocole a déclaré collaborer activement avec les agences de sécurité compétentes pour enquêter sur la faille.

Notamment, le déploiement Solana de Switchboard n'a pas été affecté. Son infrastructure basée sur Solana fonctionne sur un code différent qui, apparemment, n'était pas vulnérable au même vecteur d'attaque. Malgré tout, Switchboard a conseillé aux utilisateurs de Solana de rechercher temporairement des options d'oracle alternatives pendant l'enquête.

Pourquoi les compromissions d'oracles sont particulièrement dangereuses

Les oracles occupent l'une des positions les plus critiques dans la pile DeFi, servant de pont entre les données du monde réel — prix des tokens, taux d'intérêt, valeur des actifs — et les contrats intelligents on-chain qui exécutent des transactions financières sur la base de ces données. Les marchés de prêt, l'émission de stablecoins, les produits dérivés et les moteurs de liquidation dépendent tous de l'exactitude de ces flux ; une seule valeur corrompue peut se propager en cascade à tous les protocoles qui la consomment, ce qui s'est exactement produit sur IOTA.

L'écosystème DeFi a déjà connu des exploitations liées aux oracles. Mango Markets sur Solana a subi une exploitation de 114 millions de dollars en 2022 après qu'un attaquant a manipulé le prix de l'oracle de la plateforme.

Ce qui rend l'incident Switchboard particulièrement préoccupant, c'est que la compromission semble s'être produite au niveau de la clé plutôt que par manipulation du marché. L'attaquant n'a pas eu besoin d'exécuter des stratégies de trading complexes pour déplacer un prix ; il a simplement obtenu l'accès à une clé contrôlant le flux et a réécrit les données directement. Les compromissions de ce type au niveau des clés sont plus difficiles à contrer avec des garde-fous basés sur le marché, comme les disjoncteurs sur l'écart de prix, car les données rapportées proviennent de ce qui apparaît au protocole consommateur comme une source légitime.

Implications pour les écosystèmes concernés

Pour Aptos, Sui et Movement, l'arrêt est perturbateur même si aucune exploitation n'a été confirmée sur ces réseaux. Tout protocole DeFi dépendant de Switchboard pour ses flux de prix fonctionne effectivement à l'aveugle jusqu'à la reprise du service — incapable de traiter les liquidations, de mettre à jour les ratios de garantie ou d'exécuter toute fonction dépendante des prix.

Les protocoles ayant intégré des sources d'oracle redondantes de fournisseurs tels que Pyth, Chainlink ou Redstone aux côtés de Switchboard peuvent continuer à fonctionner. Ceux qui ne l'ont pas fait apprennent une leçon coûteuse sur les points de défaillance uniques.

Les premières déclarations de Switchboard suggèrent que les fonds des utilisateurs sont restés intacts au-delà de l'incident IOTA, même si cette évaluation pourrait évoluer à mesure que l'enquête approfondit. Parmi les questions ouvertes clés figurent la manière dont la clé d'oracle a été obtenue, si un correctif a été audité avant la restauration des flux basés sur Move, et comment les utilisateurs IOTA concernés — y compris les 45 touchés par des liquidations déclenchées par des prix manipulés — seront dédommagés.