Un attaquant a exploité une faille de validation dans le Syscoin Bridge et a généré environ 5 milliards de tokens SYS sans réelle sauvegarde sur la chaîne UTXO.
Il s’agit de un réseau blockchain double couche compatible avec la machine virtuelle Ethereum (EVM) et avec la chaîne Bitcoin via une preuve de travail (PoW). Son pont natif permet de déplacer des actifs entre la couche UTXO et la couche NEVM, permettant ainsi de transférer des actifs entre les deux couches. Une propriété qui en fait une infrastructure critique pour les utilisateurs recherchant la sécurité du Bitcoin ainsi que la flexibilité des contrats intelligents.
L’équipe Syscoin a donné des détails sur le mécanisme de l’incident et les mesures prises jusqu’à présent dans une autopsie préliminaire publiée le 7 juin. Elle y explique que le répéteur de pont a mal accepté et interprété une preuve de transaction.
Selon le document, cela a conduit le système à considérer l’opération comme valide et à créditer une sortie non autorisée de jetons SYS via le chemin UTXO du pont. Les fonds ainsi obtenus ont été transféré et divisé en transactions ultérieures.
L’équipe Syscoin indique que les jetons compromis sont actuellement concentrés dans deux directions: un avec environ 4 000 millions de SYS et un autre avec près de 1 000 millions de SYS, dont la valeur, au prix actuel du token, dépasserait les 8 millions de dollars. Le prix du SYS a chuté de 14 % au cours des dernières 24 heures, après l’incident.
L’impact a été important car les 5 milliards SYS émis représentent plus de 5,6 fois l’offre actuelle en circulation du réseau (891 millions SYS).
Selon l’équipe, les adresses et leurs transactions dérivées sont activement suivies par l’équipe.
Fonds suivis et échanges alertés
Compte tenu de l’incident, L’équipe note qu’elle a contacté les bourses et les partenaires de l’écosystème pour demander le blocage.le gel ou la surveillance stricte de tout dépôt SYS lié à la trace UTXO compromise et à ses transactions dérivées. Le pont reste en pause le temps que l’enquête soit terminée.
L’équipe maintient qu’elle a déjà identifié le chemin de validation concerné et qu’elle dispose d’un correctif. La priorité, selon le post-mortem, est de terminer l’implémentation et la révision du bug, en plus de déterminer le processus approprié pour rectifier le sortir non autorisé et neutraliser son impact sur le réseau.
Syscoin avertit les utilisateurs que n’interagissez pas avec le pont tout en restant en pause, et annonce qu’il publiera de nouvelles mises à jour au fur et à mesure de l’avancement de l’enquête et des mesures correctives.
Cet incident met une fois de plus en évidence la fragilité inhérente aux ponts. Bien que Syscoin ait agi rapidement et alerté les bourses, le fait montre qu’un seul échec dans la validation des tests peut sérieusement compromettre l’intégrité d’un réseau.
