Un bug lié à la blockchain Solana (SOL) aurait pu causer la perte de centaines de millions de dollars

Un bug reporté mais jamais corrigé

Neodyme est une équipe de chercheurs en cybersécurité, composée d'experts spécialisés dans diverses technologies, notamment la blockchain et les smart contracts. Dans un communiqué publié sur son blog, Neodyme a révélé avoir récemment découvert une faille critique dans le protocole Solana Program Library (SPL).

On apprend que le bug avait été initialement découvert en juin dernier par un chercheur de l'équipe de Neodyme et rendu public sur GitHub. Toutefois, il explique qu'à cet instant, il était impossible de déterminer si le bug était exploitable. Celui-ci était donc passé inaperçu.

Cependant, le 1er décembre dernier, ce même chercheur a constaté que la faille était toujours présente et que rien n'avait été fait pour la corriger. De surcroît, elle menaçait de nombreux protocoles de l'écosystème Solana (SOL), tels que l'agrégateur de rendement Tulip Protocol et les plateformes de prêt Solend et Larix. Des projets qui gèrent actuellement 1,7 milliard de dollars de fonds.

L'équipe de Neodyme a donc réalisé une série de tests pour vérifier si cette faille était exploitable et éventuellement la corriger. Selon le communiqué, le travail des chercheurs et la contribution des équipes des protocoles concernés ont permis de corriger rapidement la situation et de mettre à l'abri les utilisateurs. Mais quel était ce bug et qu'aurait-il bien pu se passer ?

💡 Sur le même thème – La société d'audit CertiK lève 80 millions de dollars pour continuer à sécuriser l'écosystème

Une simple erreur d'arrondie...

Dans la suite du communiqué, Neodyme explique comment fonctionnait le bug qui menaçait la Solana Program Library. Pour faire simple, lorsque vous déposez des fonds sur un protocole, la valeur de vos actifs évolue au cours du temps. Au moment du retrait, elle peut comporter de nombreux chiffres après la virgule. C'est pourquoi certains protocoles s'appuient sur SPL pour arrondir le montant restitué à la décimale la plus proche.

Considérons la plus petite unité de référence de l'écosystème Solana. Celle-ci est appelée Lamport et vaut 0.000000001 SOL (c'est le même principe qu'un satoshi, plus petite unité de Bitcoin). Si vous déposez un montant de 1,5 Lamport dans un protocole de prêt, alors vous recevrez 2 Lamport lors du retrait. À l'inverse, si ce montant ne vaut plus que 1,4 Lamport lors du retrait, vous ne recevrez que 1 Lamport. En moyenne, cela devrait s'équilibrer en créant autant de valeur que cela n'en supprime.

Toutefois, les chercheurs ont démontré qu'en exploitant très rapidement ce système, il était possible de récupérer de minuscule somme à chaque dépôt et retrait de fonds. En répétant l'opération de nombreuses fois, le montant total récupéré pourrait être réellement important.

Qui aurait pu coûter des centaines de millions de dollars !

En testant leur théorie sur une réplique de la blockchain, les experts de Neodyme ont réussi à voler 0,000001 BTC (0,047 $). Ils ont estimé qu'ils pouvaient exécuter ce bug 150 à 200 fois en une seule transaction et mettre plusieurs de ces transactions dans un seul bloc. Ainsi, une telle stratégie pouvait permettre de voler des fonds à un rythme de 7 500 dollars par seconde, soit 27 millions de dollars par heure.

Concernant la somme totale qui aurait pu être volée, cela dépend évidemment de la durée d'exploitation de la faille avant qu'elle ne soit remarquée et que des protections soient mises en place :

« L'attaque aurait duré plusieurs jours, elle aurait donc pu être interrompue au moment où elle est remarquée. Mais il est vraiment difficile de s'en rendre compte, et nous ne sommes pas sûrs que quelqu'un dispose d'une surveillance suffisante, en particulier lorsque l'attaque est menée lentement et soigneusement, » peut-on lire sur le communiqué. 

Les recherches de l'équipe de Neodyme ont permis d'identifier 6 protocoles potentiellement menacés par cette faille : Larix, Tulip, Port, Solend, Soda et Acumen. La valeur totale des actifs sous gestion, et ainsi menacés, s'élève à environ 1,7 milliards de dollars. Tous n'étant pas réellement à risque, Neodyme estime que le profit potentiel s'élevait tout de même à plusieurs centaines de millions de dollars.

? Pour aller plus loin – Le « stablecoin » SafeDollar tombe à zéro après l'exploitation d'une faille de son protocole

Journaliste pour Cryptoast, je m'efforce de décortiquer chaque détail de l'univers passionnant des cryptomonnaies et de le rendre accessible et compréhensible au plus grand nombre.

Lilian Aliaga

579 articles

Tous ses articles