Un vol considérable de cryptomonnaie a frappé un individu associé à la gouvernance de MakerDAO, entraînant une perte stupéfiante dépassant les 11 millions de dollars. Les jetons numériques impliqués, aEthMKR et Pendle USDe, ont été arrachés par des cybercriminels profitant de signatures d’autorisation trompeuses, également connues sous le nom de phishing de Permit.
Ce vol est particulièrement préoccupant étant donné la position de confiance occupée par la victime au sein de la communauté de la monnaie numérique. La complexité de l’arnaque met en lumière un problème croissant de sécurité identifié par des spécialistes de la sécurité blockchain, tels que SlowMist. Ces experts soulignent les risques inhérents associés au système de signature, rendu possible grâce à la mise en œuvre de l’EIP-2612.
Les signatures de Permit offrent une approche simplifiée des interactions avec les contrats intelligents en éliminant le besoin de processus de confirmation traditionnels. Les individus peuvent autoriser des transactions de jetons avec les seules signatures, sans exécuter de transactions sur la chaîne de blocs. Cette fonctionnalité, bien que pratique, crée une vulnérabilité qui a été exploitée par des acteurs malveillants. Une personne peut inadvertancevalider une transaction via un site Web douteux, sans jamais diffuser la signature à la chaîne de blocs pour que celle-ci prenne effet.
La nature furtive de ces transactions, réalisées en dehors de la vue de la blockchain, rend difficile de discerner la légitimité d’une signature. Ce qui complique encore les choses, c’est l’artifice insidieux des escrocs, qui attirent leurs cibles en imitant des plateformes en ligne de confiance. La firme de sécurité blockchain SlowMist a tiré la sonnette d’alarme sur les avertissements insuffisants fournis aux utilisateurs concernant ces tactiques de phishing, appelant à une sensibilisation accrue et à des mesures défensives dans le paysage dynamique des transactions de cryptomonnaie.