Exploit de 730K $ de la plateforme NFT SuperRare : un cas de test insuffisant de contrats intelligents

Le bug de contrat intelligent de SuperRare entraîne une perte de jetons RARE

SuperRare, une plateforme de trading NFT, a subi un revers avec son contrat intelligent entraînant une perte conséquente de 730 000 $. Il est rapporté que le bug du contrat intelligent était une erreur basique qui aurait pu être évitée si des méthodes de test appropriées avaient été pratiquées. La faille dans le système a permis aux hackers d’exploiter le contrat de staking de SuperRare et de siphonner environ 731 000 $ de jetons RARE, menant à un vol massif dans le monde des cryptomonnaies.

Vulnérabilité de la racine de Mercle

La faille qui a conduit à ce malheur a été attribuée à une fonction conçue pour restreindre l’interaction avec la racine de Merkle. Une racine de Merkle est un composant de données critique qui maintient les soldes de staking des utilisateurs. Dans le cas de SuperRare, cette fonction était codée de manière incorrecte, permettant à toute adresse d’interagir avec elle. Cette négligence s’est avérée coûteuse pour la plateforme de trading NFT, suscitant des discussions dans toute la communauté crypto. Une de ces discussions était dirigée par 0xAw, le développeur principal à la bourse décentralisée Alien Base, qui a fait remarquer que l’erreur était suffisamment flagrante pour être détectée par ChatGPT. Après vérification indépendante, il a été confirmé que le modèle o3 d’OpenAI pouvait effectivement identifier la faille lors des tests.

Les experts s’expriment sur le faux pas

Critiquant le manque de tests, 0xAw a souligné que tout développeur Solidity compétent ou « chatbot » tel que ChatGPT aurait pu détecter l’erreur flagrante s’il avait vérifié. Confirmant la déclaration de 0xAw, Mike Tiutin, directeur technique chez AMLBot, a déclaré que l’erreur était due à l’absence de tests appropriés par les développeurs. Le PDG d’AMLBot, Slava Demchuk, a également souligné la nécessité de programmes de tests et de primes aux bugs qui auraient pu potentiellement détecter le bug avant son déploiement.

SuperRare assure des mesures de sécurité

En réponse au désagrément, le co-fondateur de SuperRare, Jonathan Perkins, a assuré que malgré le revers, aucun fond du protocole central n’avait été perdu. Il a également mentionné que les utilisateurs affectés seraient compensés pour leurs pertes et a indiqué qu’un total de 61 portefeuilles avait été touché par cette exploitation. Perkins a admis que le bug avait échappé malgré les audits et les tests unitaires, concédant qu’il avait été introduit tard dans le processus de développement et ne faisait pas partie des scénarios de test final.

Le rôle des tests unitaires dans le développement logiciel

Les tests unitaires sont un élément critique dans le développement logiciel, en particulier avec la prévalence croissante des cryptomonnaies et des contrats intelligents. Ce sont des tests automatisés qui vérifient des parties individuelles d’un programme, généralement des fonctions ou des méthodes, et confirment qu’elles fonctionnent comme prévu sur la base des paramètres d’entrée. Dans ce scénario, le but des tests unitaires serait de valider si les adresses sont autorisées à appeler la fonction altérant la racine de Merkle ou non. Cette omission, ou plutôt le manque de tests approfondis, a ouvert la voie à une vulnérabilité qui a coûté cher à SuperRare.

Aborder les problèmes futurs et mettre en œuvre des solutions

À la suite du revers, Perkins a déclaré que SuperRare rendra obligatoire des réaudits pour les changements post-audit futurs, aussi petits soient-ils, dans le cadre de leur flux de travail mis à jour. Les analystes et les experts du blockchain insistent sur le fait que de telles erreurs peuvent être évitées efficacement par des tests approfondis. Bien que malheureuses, des situations comme celles-ci servent de rappel dans l’espace de la monnaie numérique que les méthodologies de test doivent être robustes pour minimiser les vulnérabilités dans les plateformes crypto.