Le 27 mai, la plateforme de finance décentralisée Stake DAO a subi une faille d’émission infinie sur son protocole Arbitrum. Toutefois, les contributeurs principaux de Stake DAO ont rapidement sécurisé les fonds du mainnet qui soutiennent les tokens, fermé le pont vsdCRV et réussi à contenir l’exploit.
- Points clés :
-
- Stake DAO a subi un exploit d’« infinite-mint » sur Arbitrum le 27 mai, qui aurait permis à l’attaquant de drainer 91 000 dollars d’actifs numériques.
-
- La brèche alimente un débat viral sur la sécurité DeFi, lancé par le cofondateur d’Openzeppelin, Manuel Aráoz.
-
- Stake DAO met fin progressivement à l’Arbitrum sur le marché asdCRV Llamalend et travaille avec les forces de l’ordre.
Une faille d’émission infinie déclenche un exploit
La finance décentralisée (DeFi), la plateforme Stake DAO a confirmé le 27 mai que son protocole sur le réseau de couche 2 Arbitrum a été visé par un exploit, permettant à une partie non autorisée de frapper malicieusement des milliards de tokens synthétiques. D’après les premières conclusions de la société de sécurité blockchain Blockaid, l’attaquant a profité d’une vulnérabilité d’émission infinie liée à la logique du vault vsdCRV de Stake DAO et à son système automatisé de distribution de récompenses.
Le contrat a accepté une transition d’état invalide, entraînant un grave défaut de comptabilité interne. Cette échappatoire a permis à l’attaquant de gonfler l’offre de vsdCRV de 5,4 billions d’unités. Certains rapports suggèrent que l’attaquant a pu drainer environ 91 000 dollars d’actifs numériques transférables depuis les pools de liquidité concernés, avant que le problème ne soit identifié et stoppé.
Les contributeurs principaux de Stake DAO se sont mobilisés rapidement pour limiter les dégâts supplémentaires, annonçant qu’ils avaient réussi à sécuriser la garantie vsdCRV sur le mainnet Ethereum. En raison de la rapidité de la prise en charge, les responsables du protocole ont confirmé qu’aucun fonds du mainnet ne peut être saisi par l’attaquant. En outre, l’équipe a désactivé le pont vsdCRV, confinant avec succès l’impact économique de l’exploit à l’écosystème Arbitrum.
« Sur la base de notre évaluation actuelle, Boosted yields, Liquid Lockers, Votemarket & Stake DAO lending sur Morpho ne sont pas affectés », a déclaré Stake DAO dans un communiqué partagé via la plateforme de médias sociaux X.
Le protocole a toutefois précisé que le marché Arbitrum asdCRV Llamalend sera mis fin définitivement à la suite de l’incident. Stake DAO a conseillé aux utilisateurs de ne pas interagir avec les contrats vsdCRV et exhorte les déposants de crvUSD à transférer leur capital vers des marchés Llamalend alternatifs, non affectés.
Un tournant délicat pour la sécurité DeFi
Les agences d’application de la loi ont été informées, et Stake DAO a déclaré collaborer avec des partenaires de sécurité externes pour suivre le flux des actifs volés et mener un audit forensique complet des smart contracts compromis.
Le calendrier de l’incident intervient alors que le secteur DeFi dans son ensemble tente de s’opposer à une thèse virale popularisée par le cofondateur d’Openzeppelin, Manuel Aráoz, qui a récemment affirmé que « toute la DeFi est non sûre ». L’analyse sombre d’Aráoz a surpris les acteurs de l’industrie, forçant un réajustement dans un secteur déjà épuisé par une vague d’exploits de protocoles et de vulnérabilités structurelles. L’exploit de Stake DAO vient étayer cette thèse d’Aráoz, compliquant les efforts de l’industrie pour restaurer la confiance des institutions et des particuliers.
Cette thèse a poussé Openzeppelin à publier une déclaration pour prendre ses distances avec Aráoz, que la société a indiqué avoir quitté l’organisation en 2019. Openzeppelin a également abordé les préoccupations majeures soulevées par Aráoz, reconnaissant que si l’intelligence artificielle constitue un véritable vecteur de menace, elle est aussi un outil de défense puissant lorsqu’elle est utilisée « avec rigueur et avec un jugement humain expert ».
« Nos chercheurs utilisent l’IA au quotidien pour détecter davantage de problèmes et de cas limites », a déclaré Openzeppelin dans un communiqué. « La réponse au risque lié à l’IA n’est pas de se retirer de la DeFi. C’est une meilleure sécurité. »
En se tournant vers la série récente d’incidents de sécurité, Openzeppelin a insisté sur le fait que beaucoup d’entre eux peuvent être attribués à des défaillances de sécurité opérationnelle, plutôt qu’à des bugs de smart contracts.
