Le secteur financier décentralisé de la crypto-monnaie est sous le choc des pertes croissantes alors que les campagnes sophistiquées de piratage robotique prennent de l'ampleur.

La série d'attaques sur le réseau principal Ethereum qui a entraîné des pertes de plus de 1,5 million de dollars a été exacerbée par de nouvelles recherches qui montrent que les agents d'intelligence artificielle (IA) peuvent désormais découvrir et exploiter de manière autonome les vulnérabilités des protocoles financiers décentralisés.

La société de sécurité GoPlus Security a signalé que quatre contrats distincts avaient été exploités en seulement 48 heures, jusqu'au 29 avril. La société a averti que les pirates informatiques armés d'IA deviennent plus précis et plus rapides que jamais.

Et les développeurs de contrats intelligents DeFi n’ont nulle part où se tourner, à l’exception de l’IA, pour résoudre les problèmes que l’IA elle-même a déclenchés.

L’IA peut-elle vraiment pirater DeFi par elle-même ?

a16z crypto a testé un agent de codage d'IA disponible dans le commerce contre 20 incidents de manipulation de prix passés sur Ethereum et a constaté que lorsqu'on lui donnait simplement une adresse contractuelle et des outils de base, l'IA ne réussissait à exploiter la vulnérabilité que 10 % du temps.

Cependant, lorsque les chercheurs ont donné à l'agent accès à des connaissances structurées sur les modèles d'attaque courants tels que les exploits de don de coffre-fort et la manipulation de pools de teneurs de marché automatisés (AMM), le taux de réussite a bondi à 70 %.

Les chercheurs ont noté que même si l’IA est très efficace pour détecter les bugs, elle a parfois du mal à faire face à des attaques complexes en plusieurs étapes. Un agent a même tenté de « s’échapper » de son environnement de test en extrayant une clé secrète pour examiner les futures données de bloc.

Anthropic a récemment annoncé un nouveau modèle d'IA appelé « Claude Mythos Preview ». La société a déclaré que ce modèle peut trouver et écrire de manière autonome des exploits fonctionnels pour les vulnérabilités du jour zéro sur les principaux systèmes d'exploitation et navigateurs Web.

Avant Mythos Preview, les anciens modèles avaient un « taux de réussite proche de 0 % » lors de l'écriture d'exploits. La société a également confirmé que les mêmes améliorations qui rendent le modèle efficace pour corriger les vulnérabilités le rendent également efficace pour les exploiter.

Lorsqu’il a eu accès à l’API de transaction d’Etherscan, l’agent a découvert les transactions d’attaques passées et les a procédé à une ingénierie inverse pour écrire son propre code d’exploitation.

Combien a été perdu dans le piratage de ZetaChain ?

GoPlus Security a signalé quatre exploits de contrats intelligents distincts sur le réseau principal Ethereum dans une fenêtre de 48 heures se terminant le 29 avril. Les pertes combinées ont dépassé 1,5 million de dollars. La société a décrit le rythme actuel des attaques assistées par l’IA comme une « ère de compte à rebours à la seconde ».

Lors de l’un des incidents les plus importants de la semaine, environ 333 868 $ ont été drainés sur neuf transactions sur quatre chaînes, dont Ethereum, Arbitrum, Base et BSC. Le rapport post-mortem officiel de ZetaChain indique qu’aucun fonds d’utilisateur n’a été perdu ; les trois portefeuilles concernés appartenaient à l'équipe ZetaChain.

L'attaquant a profité d'une fonctionnalité du contrat GatewayEVM en utilisant des « appels arbitraires ». La passerelle ne disposait pas d'une liste de blocage stricte, permettant au pirate informatique de lui demander de transférer les allocations de jetons définies par les portefeuilles de l'équipe.

Le pirate informatique a financé des portefeuilles via Tornado Cash trois jours avant l’attaque tout en imitant le portefeuille d’une victime.

ZetaChain a admis que la vulnérabilité avait été signalée plus tôt via son programme de bug bounty, mais les rapports initiaux ont été rejetés. Depuis, le protocole a suspendu les transactions inter-chaînes et déploie un correctif pour désactiver le code à risque.

Parmi les autres exploits Ethereum identifiés par GoPlus Security au cours des dernières 48 heures, citons un contrat d'agrégateur en chaîne qui a perdu environ 983 000 $ en raison de contrôles d'accès manquants ; un coffre-fort tiers non autorisé lié à TradingProtocol qui a perdu environ 398 000 $ également en raison de contrôles d'autorisation manquants ; un contrat BCB qui a perdu environ 39 800 $ en raison d'une vulnérabilité de réentrée ; et un contrat d'actifs QNT qui a perdu environ 124 900 $ à cause d'une vulnérabilité d'appel arbitraire.

Cryptopolitan rapporte que les pertes DeFi rien qu'en avril ont atteint des niveaux records, dépassant les statistiques combinées des trois premiers mois de l'année.

Avec des pertes croissantes dans des cas récents, il met en place une confrontation épique où les pirates et les développeurs combattent l’IA par l’IA. Avec Mythos d’Anthropic et d’autres qui entrent désormais dans la conversation, il semble que l’IA arme les pirates informatiques et que les développeurs n’auront d’autre choix que d’utiliser l’IA pour se défendre.