Le hack Munchables est bien pire qu’il n’y paraît

Le mardi 26 mars, le projet « GameFi » basé sur Ethereum et NFT, Munchables, a signalé un piratage qui a drainé plus de 17 400 ETH (environ 63 millions de dollars) de ses coffres. Après cinq heures d'enquête, il est devenu clair que l'attaque venait de l'intérieur de la maison : un promoteur immobilier sous le pseudonyme de « Werewolves0943 » avait vidé les fonds. Les initiés qui volent des fonds de projets sont suffisamment courants dans le Crypto pour que le terme « rugpull » soit utilisé dans le langage courant – mais ce qui était unique dans cette situation, c'est que les employés auraient eu des liens avec la Corée du Nord .

Ceci est un extrait de la newsletter The Node, un résumé quotidien des actualités Crypto les plus importantes sur CoinDesk et au-delà. Vous pouvez vous inscrire pour recevoir la newsletter complète ici .

Après une heure de négociations menées par Munchables, en collaboration avec l'enquêteur indépendant ZachXBT et la société de sécurité PeckShield, Werewolves0943 a été convaincu de restituer tous les fonds. « Le développeur Munchables a partagé toutes les clés privées impliquées pour aider à récupérer les fonds des utilisateurs. Plus précisément, la clé qui contient 62 535 441,24 $ USD, la clé qui contient 73 WETH et la clé du propriétaire qui contient le reste des fonds », a publié l'équipe de Munchables à 4h40 UTC.

Bien que cela semble être une solution assez heureuse à un piratage de valeur relativement faible, l’exploit Munchables pourrait avoir de nombreux conséquences néfastes pour l’industrie de la Crypto . Plus important encore, même s’il n’est T encore confirmé que la Corée du Nord a été impliquée sans conteste dans l’attaque, le simple fait que tant de gens étaient prêts à l’accepter à première vue contribue à alimenter un récit dangereux selon lequel la Crypto contribue à éroder la défense nationale et soutenir les organisations terroristes.

Les données de 2016 à 2023 collectées par la société d'analyse en chaîne Chainalysis ont montré que la Corée du Nord a piraté au moins 20 plates-formes de Crypto , volant un peu plus d'un milliard de dollars d'actifs l'année dernière seulement. Un rapport distinct de TRM Labs a largement étayé ces conclusions. "Les piratages liés à la Corée du Nord ont augmenté ces dernières années, des groupes de cyberespionnage tels que Kimsuky et Lazarus Group utilisant diverses tactiques malveillantes pour acquérir de grandes quantités d'actifs Crypto ", a déclaré Chainalysis dans son rapport.

Des recherches antérieures ont révélé que des pirates informatiques affiliés à la Corée du Nord utilisaient des milliards de dollars de butin Crypto volé pour financer le programme d'armes nucléaires du Royaume-Ermite. Ces attaques constituent une raison substantielle pour laquelle le département du Trésor américain a pris la décision sans précédent de sanctionner le contrat intelligent du mélangeur de Crypto monnaie Tornado Cash et pourquoi la sénatrice Elizabeth Warren (Démocrate du Mass.) peut en toute bonne foi qualifier la Crypto de « risque pour la sécurité nationale ».

"Vrai discours : la plus grande menace Juridique pour la Crypto est de loin l'allégation selon laquelle la Corée du Nord finance son programme de missiles en piratant des contrats intelligents", a écrit le PDG de Variant Fund, Jake Chervinsky, sur X. Si la Crypto est interdite, « cela sera dû à une opinion de plus en plus répandue parmi les décideurs politiques anti-crypto selon laquelle la Crypto n'a T d'autre cas d'utilisation que le jeu et la criminalité, et que le risque de permettre à la Crypto de continuer à exister dépasse de loin le potentiel. des avantages que les développeurs de blockchain ont promis mais qui n’ont pas été livrés depuis des années.

L’attaque des Munchables ne fait qu’ajouter à cette image. En fait, c'est légèrement pire dans la mesure où il ne s'agissait T d'un acteur extérieur exploitant un code mal écrit, mais d'un échec total de la diligence raisonnable de la part d'un projet de blockchain de plusieurs millions de dollars lors de l'embauche de développeurs. Cela donne une toute nouvelle tournure à l’idée d’« ingénierie sociale » lorsque des acteurs présumés de la menace peuvent non seulement manipuler un interne pour obtenir des informations critiques, mais également être payés pour être à l’intérieur.

Selon le développeur Ethereum 0xQuit , l'attaque Munchables avait été planifiée dès le départ. L'attaquant a pu mettre à niveau le « contrat de verrouillage », destiné à KEEP les fonds du projet sous clé pendant une période de temps spécifique, afin de pouvoir « s'attribuer un solde déposé de 1 000 000 d'éther » tout en cachant les preuves des changements. 0xQuit réclamé .

Voir aussi :  Qualifier un piratage d'exploit minimise les erreurs Human | Analyses

Bien entendu, ce n’est T un problème qui concerne uniquement l’industrie de la Crypto : depuis des années, le Bureau fédéral des enquêtes et la République de Corée ont émis des avertissements concernant le « métier » nord-coréen consistant à exploiter des exploiteurs qui accèdent à des infrastructures clés grâce à l’emploi. "L'embauche ou le soutien d'informaticiens de la RPDC continue de présenter de nombreux risques, allant du vol de propriété intellectuelle, de données et de fonds, à l'atteinte à la réputation et aux conséquences juridiques", ont écrit les agences dans un récent communiqué d'intérêt public.

Outre l'embarras d'avoir au moins un pirate informatique nord-coréen travaillant à l'intérieur des projets qu'ils ont l'intention de voler, la réponse de la communauté Crypto à l'attaque de Munchables a également révélé à quel point ces systèmes sont vulnérables. Par exemple, plusieurs personnes sur Crypto Twitter ont suggéré que, étant donné que Munichables se trouvait sur la blockchain controversée Blast, qui est essentiellement maintenue par un simple portefeuille multi-signatures, l'équipe Blast pourrait intervenir en faisant reculer la chaîne pour récupérer les fonds volés.

"Bien que je sois fermement opposé à cette action sur toute autre chaîne, je ne considère T Blast comme une marque de" chaîne de décentralisation sérieuse "mais plutôt comme un lieu de jeux, d'expérimentations, de dégénérescence, ETC", Adam Cochran, un homme influent. voix dans les cercles Ethereum et le partenaire de Cinneamhain Ventures, ont déclaré en faveur du retour en arrière potentiel .

Il ne fait aucun doute que Blast est un réseau controversé – un ONE qui a collecté plus d’ un milliard de dollars sans même un prototype – mais il n’est pas du tout différent de la façon dont les autres couches 2 de la pile OP sont construites. Par exemple, après qu'Eric Wall a rappelé à ses abonnés que Blast et le réseau Base de Coinbase utilisent essentiellement la même base de code, le principal développeur de Base, Jesse Pollack, a tweeté que « les clés de Base ne sont contrôlées par ONE partie ou entité ». Au lieu de cela, Base est contrôlé par un portefeuille multi-signature 2/2, qui pourrait théoriquement également faire reculer la chaîne si les deux parties étaient d'accord.

Voir également : POLY Heist de 600 millions de dollars montre que DeFi a besoin de pirates informatiques pour devenir inpiratable | Analyses

Actuellement, aucune solution de mise à l’échelle Ethereum n’est véritablement « décentralisée » au sens commun du terme, même si les équipes qui les développent adhèrent généralement aux principes d’accès sans autorisation et de non-censure des utilisateurs. Dans un certain sens, comme le note Chervinsky, de nombreux décideurs politiques qui « comprennent la différence entre une Technologies centralisée et décentralisée » choisiraient la première parce que cela signifie que les fondateurs gardent le contrôle de ce qui se passe sur la chaîne.

"Mais en fin de compte, il incombe aux constructeurs du secteur de faire mieux", a-t-il ajouté.