Le contrat StakeDAO sur Arbitrum visé par un exploit de 5.4T vsdCRV

Un incident de sécurité a affecté l'infrastructure de StakeDAO sur Arbitrum, des chercheurs ayant identifié une activité anormale liée à son contrat vsdCRV.

L'exploit est lié à une vulnérabilité suspectée d'émission infinie qui aurait pu permettre la création d'une offre extrêmement importante de tokens de staking synthétiques, rapportée à environ 5.4 trillion d'unités vsdCRV.

Les premières analyses indiquent également qu'environ $91,000 de fonds ont été siphonnés pendant l'incident.

L'activité a d'abord été détectée via un comportement on-chain inhabituel impliquant des dérivés de staking liés à des positions de liquidité basées sur Curve.

Les mouvements irréguliers de tokens ne correspondaient pas aux schémas attendus de distribution de récompenses, ce qui a incité à un examen approfondi de l'architecture du contrat.

L'exploit porte sur l'émission de vsdCRV et la logique du vault

Le système affecté est le mécanisme vsdCRV de StakeDAO, un dérivé de staking liquide lié aux positions de Curve Finance.

Dans ce dispositif, les utilisateurs déposent des CRV ou des actifs liés à CRV et reçoivent des tokens vsdCRV représentant leur part de pouvoir de staking et de récompenses.

D'après l'analyse on-chain, la vulnérabilité semble provenir du cadre d'émission de tokens et de comptabilité utilisé par le contrat déployé sur Arbitrum.

Les chercheurs estiment que la faille a pu créer un scénario d'« émission infinie » dans lequel le protocole n'a pas correctement restreint l'émission de tokens.

Ce type de vulnérabilité peut apparaître lorsque les calculs d'offre dépendent de variables manipulables telles que les soldes de parts ou les indices de récompense.

Dans ce cas, on pense que l'attaquant a exploité la faiblesse pour gonfler de manière spectaculaire l'offre de vsdCRV, des estimations évoquant un événement d'émission impliquant environ 5.4 trillion de tokens.

Une fois le solde gonflé créé, il a pu être utilisé pour extraire de la valeur du système de vaults ou fausser le processus de distribution des récompenses du protocole.

L'incident ne semble pas être lié à une compromission de clé privée ou à une attaque au niveau des portefeuilles.

Au contraire, l'analyse préliminaire indique une défaillance dans la comptabilité interne du smart contract, où le système a pu valider incorrectement les conditions d'émission sous des états de transaction spécifiques.

Des fonds drainés tandis que l'exploit reste sous surveillance

Outre l'événement d'inflation des tokens, l'activité on-chain indique qu'environ $91,000 d'actifs ont été déplacés hors des positions affectées pendant la fenêtre d'exploitation.

Les sorties suggèrent que l'attaquant a pu convertir le solde vsdCRV manipulé en valeur transférable avant que l'anomalie ne soit contenue.

L'exploit a été identifié alors que l'activité était encore en cours, les chercheurs continuant de surveiller les interactions du contrat en temps réel.

L'incident fait toujours l'objet d'une enquête tandis que les analystes tentent de déterminer l'ampleur totale de l'exposition.

L'activité s'est concentrée sur Arbitrum, où le déploiement de StakeDAO interagit avec l'infrastructure de liquidité liée à Curve.

La combinaison de dérivés de staking et de systèmes de récompense automatisés a compliqué les efforts visant à isoler immédiatement l'impact complet, en particulier tant que les transactions continuent de se propager dans les pools de liquidité DeFi.

Les conclusions préliminaires pointent vers une défaillance comptable

Les conclusions préliminaires suggèrent que le problème central réside dans la manière dont le contrat calcule les droits d'émission pour vsdCRV.

Dans des systèmes de ce type, l'émission est typiquement liée à un ratio entre les actifs déposés et les parts émises.

Si ce ratio peut être manipulé via des interactions en cas limite ou des mises à jour d'état mal configurées, cela peut créer une ouverture pour une émission de tokens disproportionnée.

Une fois que l'attaquant a déclenché la faille, le contrat semble avoir accepté une transition d'état invalide qui a permis une création excessive de tokens.

Le solde gonflé a ensuite perturbé le cadre de comptabilité interne utilisé par le système de vaults.

Ce type d'exploit est couramment associé aux protocoles DeFi qui s'appuient fortement sur des modèles comptables basés sur les parts sans application stricte d'invariants.

Lorsque ces garde-fous échouent, le système peut traiter à tort des tokens artificiellement créés comme un pouvoir de staking légitime.