Imaginez que vous observez un pont de contrats intelligents reliant Ethereum et Solana.
Vous remarquez une minuscule erreur de logique dans la façon dont le pont vérifie les signatures. En envoyant une transaction précise et conçue sur mesure, vous pouvez tromper le contrat pour qu’il croie que vous venez de déposer 120 000 Ethereum d’un côté, sans avoir déposé le moindre centime.
En quelques clics, vous exécutez la commande.
Soudain, 120 000 ETH enveloppés (320 millions de dollars) apparaît dans votre portefeuille Solana. Comme par magie. Aucune alarme ne se déclenche. Aucun agent de sécurité ne se lance à votre poursuite.
Ce n’est pas un jeu hypothétique. En février 2022, un développeur a découvert cette faille exacte dans le Wormhole Bridge.
Ils n’ont volé aucune clé privée. Ils n’ont piraté aucune base de données. Ils ont simplement trouvé un « code de triche » dans les mathématiques régissant le pont, puis s’en sont servis pour frapper une fortune.
Le piratage était tellement massif qu’il risquait de faire s’effondrer l’ensemble de l’écosystème Solana DeFi, car l’ETH enveloppé sur Solana était soudainement adossé à absolument rien.
Pour sauver le réseau, une société de capital-risque (Jump Crypto) a dû intervenir et déposer 320 millions de dollars de son propre argent dans le pont afin de couvrir les actifs volés et d’empêcher l’écosystème d’imploser.
Quand un système vous permet de générer des millions de dollars simplement à cause d’une ligne de validation manquante dans le code, la faute revient-elle à la personne qui a cliqué sur le bouton, ou aux développeurs qui ont laissé l’imprimerie déverrouillée ? 🤔