Le MEV bot le plus avancé volé de 7,5 millions de dollars : L'Approval, le risque mortel le plus négligé sur la blockchain ?
Un robot MEV sophistiqué sur Ethereum, Jaredfromsubway.eth, a été victime d'une attaque ciblée ayant entraîné une perte d'environ 7,5 millions de dollars. L'attaquant a déployé des pools de liquidités et des jetons factices pour piéger le robot, l'amenant à accorder des autorisations (Approvals) ERC-20 malveillantes. Ces autorisations ont ensuite été utilisées pour drainer ses fonds. Cet incident met en lumière le risque fondamental et souvent négligé des Approvals dans l'écosystème DeFi.
Contrairement aux vulnérabilités de contrat intelligent, le risque lié aux autorisations est systémique. Une fois accordée, une autorisation permet à un contrat d'accéder aux jetons d'un utilisateur, potentiellement indéfiniment. Les pratiques courantes comme l'approbation illimitée ("unlimited approval") et le manque de révocation des autorisations inutilisées augmentent considérablement l'exposition des utilisateurs. Un contrat initialement légitime peut devenir une menace s'il est compromis ultérieurement.
Pour atténuer ces risques, les utilisateurs doivent adopter le principe du moindre privilège, en n'autorisant que les montants strictement nécessaires, utiliser des portefeuilles distincts pour les interactions avec des DApps, et révoquer régulièrement les autorisations inutiles via des outils dédiés. Les portefeuilles, quant à eux, doivent renforcer leurs défenses en fournissant des alertes claires, une analyse lisible des transactions signées et des outils de gestion des autorisations intégrés. La sécurité en Web3 ne se limite pas à la protection des clés privées ; elle exige une vigilance constante sur les autorisations actives qui représentent un accès permanent aux actifs.
marsbit06/24 05:32
