Un incident de perte d'actifs off-chain provoqué par un stockage transitoire

Fin mars 2025, un projet de trading à effet de levier sur la chaîne Ethereum a été attaqué, entraînant une perte d'actifs de plus de 300 000 dollars. L'équipe de sécurité a mené une analyse approfondie de cet incident, révélant les principes et le processus de l'attaque.

Contexte de l'événement

Cet événement a eu lieu le 30 mars 2025, le projet victime est une plateforme de trading à effet de levier fonctionnant sur Ethereum. L'attaquant a exploité une vulnérabilité dans la fonctionnalité de stockage transitoire introduite par la version 0.8.24 de Solidity, réussissant à contourner les vérifications d'autorisation du contrat et à transférer illégalement une grande quantité d'actifs.

Introduction au stockage transitoire

Le stockage transitoire est une nouvelle fonctionnalité introduite par Solidity en janvier 2024, visant à fournir un moyen de stockage de données temporaire et à faible coût. Il présente les caractéristiques suivantes :

1. Faible consommation de gas : les opérations de lecture et d'écriture ne nécessitent que 100 gas, bien en dessous des opérations de stockage conventionnelles.
2. Durée des transactions : Les données restent valables pendant toute la durée d'exécution de la transaction.
3. Suppression automatique : après la fin de la transaction, les données stockées seront automatiquement réinitialisées à zéro.

Principe de l'attaque

Le cœur de l'attaque réside dans l'exploitation de la caractéristique de stockage transitoire qui n'est pas immédiatement nettoyée après la fin d'un appel de fonction. L'attaquant, par le biais d'une séquence d'opérations soigneusement conçue, parvient à remplacer les données initialement destinées à la vérification de l'identité, contournant ainsi les contrôles de sécurité du contrat.

Étapes de l'attaque

1. Créer un token malveillant et établir un pool de trading

2. Initialiser le marché de trading à effet de levier

3. Émettre des tokens à levier, tout en effectuant le premier stockage transitoire.

4. Créer un contrat malveillant à une adresse spécifique

5. Utiliser les résidus de stockage transitoire pour contourner l'authentification

6. Transfert illégal d'actifs cibles

Flux d'actifs

Selon l'analyse des données off-chain, les attaquants ont volé environ 300 000 $ d'actifs, y compris USDC, WBTC et WETH. Ces actifs ont ensuite été échangés et transférés vers un service de mélange de fonds, dans le but de dissimuler le flux des fonds.

Conseils de sécurité

Pour éviter que des incidents similaires ne se reproduisent, les développeurs doivent prêter attention aux points suivants :

1. Après avoir utilisé le stockage transitoire, effacez rapidement les valeurs stockées.

2. Renforcer l'audit du code des contrats et les tests de sécurité

3. Utilisez avec prudence les nouvelles caractéristiques de langage introduites, et comprenez bien leurs risques potentiels.

Cet événement met en évidence les risques de sécurité que peuvent entraîner les caractéristiques des nouvelles technologies, rappelant aux développeurs de projets blockchain de faire preuve d'une prudence particulière lors de l'adoption de nouvelles fonctionnalités, tout en soulignant l'importance d'audits de sécurité continus et d'évaluations des risques.