La société de sécurité blockchain Hexens a divulgué une vulnérabilité critique de confusion de types dans la machine virtuelle Aptos Move qui, si elle avait été exploitée, aurait pu exposer environ 70 milliards de dollars de risque crypto systémique, couvrant les ponts, l'administration des stablecoins, la messagerie inter-chaînes, et les rails de dépôt des échanges centralisés. La faille provenait d'un bug de cache obsolète dans l'environnement d'exécution qui traite les contrats intelligents Move sur Aptos, la chaîne de couche 1 dont le langage Move avait été développé à l'origine au sein du projet Diem de Facebook, aujourd'hui abandonné.
Les chercheurs ont simulé le chemin d'attaque une vingtaine de fois dans un environnement de test construit pour se rapprocher des conditions du mainnet Aptos, à l'aide d'un cluster de plus de 30 nœuds validateurs, d'un trafic de transactions organiques, et d'une configuration serveur coûtant environ 3 000 dollars. Ils ont réussi 17 à 18 fois. Les deux ou trois exécutions échouées n'auraient pas stoppé le réseau ; l'attaquant aurait simplement pu attendre une autre fenêtre. Le CTO de Polygon, Mudit Gupta, qui a examiné indépendamment les éléments de preuve de concept, a déclaré que l'exploit tenait la route : « Il a fonctionné comme annoncé, et l'exploit était cohérent. »
Pourquoi c'est important
La sensibilité de cette catégorie de bug tient à la manière dont Move gère les autorisations. Les permissions du protocole, y compris le droit de frapper un stablecoin, de contrôler un pont, ou d'administrer un marché de prêt, sont souvent stockées directement sous forme de ressources onchain. Compromettre ces ressources et les dégâts ne se limitent pas à un seul protocole ; ils s'étendent à tout ce qui s'y fie. Grego AI, qui a vérifié indépendamment la preuve de concept, a calculé qu'environ 250 millions de dollars de TVL natif Aptos étaient directement exposés, et a noté que l'exploit aurait également pu servir à voler des capacités de protocole, notamment celles détenues par LayerZero, Wormhole, et le Cross-Chain Transfer Protocol de l'USDC.
Aptos Labs a reconnu le rapport et indiqué qu'un correctif avait été développé, testé, et déployé sur le mainnet en quelques heures après la découverte, le 25 février, sans qu'aucun utilisateur ni aucun fonds ne soit affecté. L'équipe a également contesté l'exploitabilité pratique du bug, déclarant à CoinDesk que son analyse concluait que « le bug aurait une exploitabilité extrêmement faible dans des conditions réelles ». Hexens indique n'avoir reçu aucune contre-argumentation technique ni aucun argument fondé sur des preuves contredisant les catégories d'impact démontrées.
Impact sur le marché
La divulgation arrive à un moment où plusieurs bugs très médiatisés ont déjà rappelé à l'industrie à quel point la marge peut être fine.
Questions fréquemment posées
-
Quelle était la vulnérabilité de l'Aptos Move VM ?
Un bug de cache obsolète entraînant une vulnérabilité de confusion de types dans la machine virtuelle Aptos Move, l'environnement d'exécution qui traite les contrats intelligents Move sur la chaîne. Il a été signalé via le programme de bug bounty d'Aptos le 25 février et corrigé en quelques heures.
-
Combien la faille aurait-elle pu mettre en risque ?
Hexens a estimé environ 70 milliards de dollars de risque systémique de premier ordre plus large, couvrant les ponts, l'administration des stablecoins, la messagerie inter-chaînes, et les rails de dépôt des échanges centralisés. Grego AI a calculé séparément qu'environ 250 millions de dollars de TVL natif Aptos…
-
Comment les chercheurs ont-ils simulé l'attaque ?
Hexens a exécuté le chemin d'exploitation une vingtaine de fois dans un environnement simulé utilisant un cluster de plus de 30 nœuds validateurs, du trafic de transactions organique, et une configuration serveur coûtant environ 3 000 dollars. Ils ont réussi 17 à 18 fois ; les deux ou trois exécutions échouées n'ont…
-
Aptos a-t-il confirmé que le bug avait été exploité ou que des fonds avaient été perdus ?
Non. Aptos Labs a indiqué que le problème avait été signalé via son programme de bug bounty le 25 février, qu'un correctif avait été développé, testé, et déployé sur le mainnet en quelques heures, et qu'aucun utilisateur ni fonds n'avait été impacté. L'équipe a contesté l'exploitabilité pratique du bug.
-
Pourquoi cette catégorie de bug est-elle si sensible pour les chaînes basées sur Move ?
Les permissions du protocole dans Move, y compris le droit de frapper un stablecoin, de contrôler un pont, ou d'administrer un marché de prêt, sont souvent stockées directement sous forme de ressources onchain. Compromettre ces ressources étend les dégâts à chaque protocole qui s'y fie, dont LayerZero, Wormhole, et le…
CryptoSlate
TheBlock
WuBlockchain
CoinTelegraph