Les badges d’audit crypto peuvent induire les utilisateurs en erreur sur le périmètre de sécurité

Points clés

Bybit a déclaré que des attaquants avaient manipulé son interface de signature lors d’un transfert depuis un portefeuille Ethereum, entraînant une perte de 1,46 milliard de dollars. Le FBI a attribué le vol à la Corée du Nord. Safe a déclaré qu’un ordinateur compromis d’un développeur avait permis la transaction malveillante, tandis que ses contrats intelligents et le code source de son interface front-end ne présentaient aucune vulnérabilité. Le chercheur de Oak Security Stefan Beyer a constaté que le vol de clés privées, l’hameçonnage, les dépendances et les attaques de gouvernance représentaient 49,6 % des pertes observées dans un jeu de données couvrant 218 incidents.

Sentiment de marché

neutre, porté par la sécurité.

Raison : La perte de Bybit montre qu’un audit de contrats intelligents peut ne pas couvrir les systèmes qui influencent l’approbation des transactions.

Cas similaires passés

Ce type de défaillance de sécurité déplace généralement l’attention du code des contrats intelligents vers les contrôles des signataires, les interfaces et les processus opérationnels. Le cas actuel se distingue par le fait que la défaillance signalée concernait un affichage de transaction manipulé, plutôt qu’une vulnérabilité identifiée dans un contrat intelligent.

Effets de ricochet

Les projets pourraient faire l’objet d’un examen plus approfondi pour déterminer si leurs rapports d’audit couvrent le code déployé, les procédures de signature et l’infrastructure front-end. Si les projets divulguent des périmètres d’audit plus restreints, les utilisateurs pourraient distinguer les revues de code des évaluations complètes de la sécurité opérationnelle.

Opportunités et risques

Opportunités: Les lecteurs peuvent vérifier si les projets identifient la version du code auditée et divulguent les systèmes exclus. Des informations claires sur le périmètre peuvent améliorer les comparaisons entre les pratiques de sécurité des protocoles.

Risques: Les utilisateurs peuvent être exposés à des risques lorsqu’un badge d’audit est considéré comme la preuve d’une sécurité complète. Un écart entre l’écran de signature et la transaction sous-jacente peut contourner des signatures par ailleurs valides.