Yuga Labs a mené une opération de sauvetage de type white-hat le 8 juin, récupérant 68 NFT d'une valeur de plus de 500 000 $ sur Flooring Protocol après qu'un bug comptable de contrat intelligent a rendu les pools de liquidité de la plateforme vulnérables à l'exploitation. Les actifs récupérés comprenaient deux CryptoPunks, 29 NFT Bored Ape Yacht Club et quatre NFT Mutant Ape Yacht Club, ainsi que des NFT supplémentaires d'autres collections déposés dans les pools de fractionnement du protocole.

La vulnérabilité

Flooring Protocol, une plateforme qui permet le fractionnement de NFT — divisant des NFT de grande valeur en fractions fongibles et négociables afin que les utilisateurs puissent s'exposer à des actifs de premier plan sans les acheter ouvertement — contenait une faille dans sa logique de comptabilité et de vérification de la propriété. Un attaquant a identifié que le bug permettait de frapper des soldes de fpTokens quasi illimités — le jeton interne du protocole représentant la propriété fractionnée des NFT.

L'exploit a permis à des montants nominaux de WETH de drainer systématiquement les pools de liquidité, créant une extraction progressive qui aurait fini par vider le protocole de ses actifs les plus précieux. L'architecte de Flooring Protocol, connu sous le nom de 0xFreeLunch, a reconnu sa responsabilité concernant la vulnérabilité.

Comment la récupération s'est déroulée

Yuga Labs est intervenu avant que l'attaque ne s'aggrave. L'entreprise a déployé un contrat intelligent défensif qui reproduisait essentiellement la mécanique de l'exploit — utilisant la même logique comptable défectueuse pour frapper des fpTokens et extraire des NFT de grande valeur des pools exposés avant que des acteurs malveillants ne puissent les réclamer. Cette approche reflète les pratiques white-hat établies dans la DeFi, où les chercheurs en sécurité et les équipes de protocole font la course pour devancer les attaquants en utilisant défensivement la même vulnérabilité pour mettre les fonds à risque en sécurité.

L'opération a sécurisé 68 NFT de plusieurs collections. Les actifs CryptoPunks, Bored Ape Yacht Club et Mutant Ape Yacht Club représentaient le segment le plus précieux de cette récupération.

Tous les NFT récupérés restent sous la garde de Yuga Labs. L'entreprise a déclaré que les actifs seraient rendus à leurs propriétaires légitimes une fois que Flooring Protocol aura corrigé la vulnérabilité sous-jacente.

Implications plus larges

L'incident de Flooring Protocol met en évidence les préoccupations persistantes concernant la maturité de l'infrastructure DeFi axée sur les NFT. Les bugs comptables — en particulier les erreurs dans la façon dont les protocoles suivent la propriété des jetons et l'autorité de frappe — figurent parmi les catégories les plus fondamentales de vulnérabilités de contrats intelligents, et ont été responsables de plusieurs exploits DeFi majeurs ces dernières années. Les audits complets avant déploiement sont spécifiquement conçus pour identifier de tels problèmes, bien que la complexité de la composabilité entre la logique de propriété des NFT et la frappe de jetons fongibles continue de présenter des surfaces d'attaque qui peuvent n'apparaître que lorsque les protocoles sont en ligne et détiennent une valeur réelle.

La réponse rapide de Yuga Labs reflète l'intérêt financier et réputationnel direct de l'entreprise à protéger les détenteurs de CryptoPunks et de Bored Ape Yacht Club. Yuga Labs a acquis la propriété intellectuelle de CryptoPunks auprès de Larva Labs en 2022.