Les privilèges propriétaire du contrat WEMIX auraient été compromis, entraînant l’émission et le transfert illégaux de tokens d’une valeur de 6,25 millions de dollars. L’incident relance l’examen de la sécurité des clés d’administration dans l’infrastructure des jeux blockchain et d’autres systèmes de smart contracts.

Détails rapportés de l’incident d’émission de tokens WEMIX

La faille signalée concernait la compromission des privilèges propriétaire du contrat. Dans un smart contract, les privilèges propriétaire sont des permissions élevées attribuées à une adresse désignée, lui permettant d’effectuer des actions administratives telles que l’émission de nouveaux tokens, la suspension des transferts ou la mise à niveau de la logique du contrat.

Lorsque ces permissions sont contrôlées par un attaquant, celui-ci peut effectivement agir avec l’autorité du projet lui-même. Dans ce cas, le résultat a été la création non autorisée de tokens et leur transfert ultérieur, selon un compte rendu publié par la WEMIX Foundation.

WEMIX a déjà été confronté à des incidents de sécurité. Son Play Bridge a été exploité lors d’une attaque distincte ayant entraîné le vol d’environ 6,1 millions de dollars, selon BleepingComputer.

Les détails opérationnels de la dernière compromission des privilèges propriétaire restent non confirmés au regard des éléments disponibles. Il n’est pas encore établi comment l’accès a été obtenu, si des fonds ont été récupérés ni quelles mesures correctives supplémentaires ont pu être prises. Les informations allant au-delà de l’émission et du transfert non autorisés signalés doivent être considérées comme non vérifiées tant qu’elles ne sont pas confirmées par des sources primaires.

Implications pour les détenteurs de tokens et la sécurité des smart contracts

Une compromission des privilèges propriétaire d’un contrat renvoie à une faiblesse des contrôles d’accès et des clés d’administration plutôt qu’à un problème lié au marché. Dans les contrats de tokens où une clé propriétaire peut contrôler des fonctions liées à l’offre, la partie qui contrôle cette clé peut être en mesure d’émettre des tokens ou d’effectuer d’autres actions administratives sensibles. Cela fait des clés privilégiées l’une des cibles les plus précieuses dans les systèmes Web3.

L’émission non autorisée est importante pour les détenteurs, car les tokens nouvellement créés peuvent diluer l’offre existante et être transférés avant qu’un projet ne puisse réagir. Même avant la publication de tous les détails techniques, une émission illégale peut soulever des questions sur l’intégrité des contrôles de l’offre d’un token. Pour les utilisateurs et contreparties concernés, les mises à jour les plus pertinentes seraient des communications de sources primaires sur les permissions compromises, tout traçage des transactions et le fait de savoir si les contrôles du contrat ou les clés administratives ont été renouvelés ou restreints.

L’incident reflète une préoccupation de sécurité plus large dans le secteur crypto. Le fondateur de Binance, CZ, a déjà averti que des risques de sécurité cachés peuvent exister au sein d’opérations crypto qui paraissent solides de l’extérieur, et la gestion des privilèges demeure un risque opérationnel récurrent.

Les vecteurs d’attaque visant les utilisateurs restent également une voie courante de compromission des clés. Binance mène des tests internes de phishing en équipe rouge avec des conséquences en cas d’échecs répétés, tandis que des chercheurs ont documenté la manière dont BlueNoroff a utilisé de fausses réunions Zoom et Teams pour cibler des utilisateurs de crypto et collecter des identifiants.

Pour l’ensemble du secteur, la leçon de sécurité est que les fonctions privilégiées des contrats doivent être protégées par des contrôles tels que l’autorisation multisignature, les délais de verrouillage et une surveillance continue, afin que les émissions anormales ou d’autres actions sensibles puissent être détectées et stoppées avant que de la valeur ne quitte le système.