Depuis une semaine, on observe un acteur malveillant qui passe en revue les Smart Contracts du réseau MultiversX. Un par un, de manière méthodique, il cherche à extraire la moindre valeur mal protégée. Le rythme et la méthodologie de chaque exploit constaté semblent indiquer un processus automatisé : un agent récupère le code de chaque contrat, liste les fonctions existantes, vérifie les autorisations liées à chaque fonction (only owner vs public), puis cherche un vecteur d’attaque en simulant le résultat de la transaction. Si l’agent trouve quelque chose, il exécute l’attaque en soumettant des transactions pour mettre en œuvre le scénario découvert. Les failles que j’ai analysées parmi les dizaines de Smart Contracts touchés présentent deux principaux vecteurs d’attaque. Le premier est l’utilisation de fonctions qui auraient dû être réservées à l’owner du Smart Contract, mais qui sont restées publiques. L’oubli de la macro #[only_owner] sur un endpoint permet à tout le monde d’exécuter une fonction qui aurait dû être réservée au propriétaire du contrat. L’attaquant a exploité cette faille pour modifier des paramètres sensibles, comme une adresse ou un token utilisé dans la logique du contrat, lui permettant ainsi d’extraire ou de rediriger des fonds vers son wallet. Le second est plus technique. Il consiste à appeler des fonctions publiques en leur envoyant des paramètres que le développeur n’avait pas pensé à vérifier. Quelques exemples : Payer le bon montant, mais avec un autre token. Payer avec le bon token, mais avec un montant incorrect. Exploiter une fonction qui accepte deux identifiants identiques alors qu’ils auraient dû être différents. Une grande partie de ces contrats ont été développés avant l’avènement de l’IA telle qu’on la connaît aujourd’hui. Si vous avez écrit des contrats par le passé, faites-les passer à la moulinette pour détecter d’éventuels oublis. Si vous développez des Smart Contracts aujourd’hui, avec ou sans IA, challengez votre agent pour qu’il recherche des scénarios d’exploitation liés à ce type d’oubli. Faites également relire et auditer votre code par des sources externes. Ce n’est pas parce que votre code fonctionne qu’il ne peut pas être détourné pour un usage que vous n’aviez pas anticipé. Pour finir sur une note positive, la majeure partie des fonds extraits par l’attaquant ont été bloqués au niveau du bridge.