Un bogue de contrat intelligent donne 90 millions de dollars en crypto-monnaie COMP • The Register
Robert Leshner, fondateur de l’entreprise financière décentralisée Compound Labs, a demandé le retour d’environ 90 millions de dollars de jetons COMP après qu’un bogue de contrat intelligent ait distribué plus de crypto-monnaie qu’il n’aurait dû.
Les jetons COMP sont distribués quotidiennement aux utilisateurs du protocole Compound. Ils accordent aux détenteurs un droit de regard sur la gouvernance communale du protocole, qui est utilisé pour les transactions financières telles que les emprunts et les prêts avec des crypto-monnaies.
La finance décentralisée repose sur des contrats intelligents qui ne sont pas nécessairement à la hauteur de leur nom pour gérer les transactions. C’est-à-dire que le code contrôlant ces contrats intelligents contient souvent des erreurs stupides.
« Quelques heures plus tôt, Proposition 62 est entré en vigueur, mettant à jour le contrat du contrôleur, qui distribue COMP aux utilisateurs du protocole », a déclaré Leshner mercredi, via Twitter. « Le nouveau contrat du contrôleur contient un bogue, ce qui fait que certains utilisateurs reçoivent beaucoup trop de COMP. »
Selon Leshner, au plus 280 000 jetons ont été mal distribués. À la valeur actuelle du jeton COMP d’environ 322 $, cela représente plus de 90 millions de dollars américains.
Jeudi, Leshner a plaidé pour que les jetons soient rendus, offrant de laisser les bons samaritains garder 10 pour cent et faisant allusion aux conséquences pour ceux qui ne se conforment pas.
Il a écrit:
Ceux qui discutent de l’incident sur l’espace de discussion Discord de Compound notent que les destinataires des fonds errants doivent utiliser le claimComp fonctionner manuellement pour obtenir les jetons COMP – les jetons n’apparaîtront pas automatiquement sur votre compte. Certaines personnes l’ont déjà fait – voici une transaction réclamant environ 29 millions de dollars.
Les participants au chat Discord ne semblent pas non plus très satisfaits de la menace du doxxing. « Un clown total apparaît ici », s’est plaint une personne. « Erreur de protocole et personnes innocentes menacées w dox. »
Malgré l’engagement de Leshner à signaler les bénéficiaires exceptionnels aux autorités fiscales américaines – comme son entreprise est vraisemblablement obligée de le faire en vertu de la législation fiscale américaine – certains participants de la communauté Compound ont déjà revenu leurs richesses COMP accidentelles. D’autres ont suggéré de garder l’argent et de payer tout impôt dû sur la manne COMP serait toujours plutôt lucratif.
Pendant ce temps, la proposition composée 63 est en cours de révision et devrait être votée dans quelques jours. Il « désactive la possibilité de réclamer COMP, jusqu’à ce que la logique de distribution correcte soit restaurée ». Cela laisse encore du temps aux bénéficiaires de fonds mal acheminés pour encaisser.
Les bogue, selon Mudit Gupta, chercheur en sécurité blockchain, se compose d’un seul caractère : la mise à jour du code composé a utilisé un > opérateur là où il aurait dû être utilisé >=.
Analyse des incidents composés :
Compound a mis à niveau son contrat de contrôleur vers https://t.co/mgLGKCywxf qui avait un bogue d’une lettre sur L1217.
Cela a conduit à un retournement de situation dans lequel le contrôleur offre plus de récompenses aux (anciens) fournisseurs que prévu. ?? pic.twitter.com/BskHIibsUJ
– Mudit Gupta (@Mudit__Gupta) 30 septembre 2021
« Le bogue se produit lorsque quelqu’un fournit des jetons pour un marché avec des récompenses nulles comme cSUSHI et cTUSD avant que le marché ne soit initialisé ou migré », a déclaré Gupta. via Twitter. « supplyIndex pour de tels jetons reste égal à compInitialIndex ce qui signifie que le if bloquer sur [Line 1217] n’est pas déclenché. »
En utilisant le > l’opérateur plutôt que le >= opérateur, le if le bloc de code n’est pas appelé et le supplierIndex variable reste à 0 tant que supplyIndex est 1e36. Le delta, ou la différence entre les deux valeurs, devient 1e36 et le protocole Compound verse alors une récompense pour les index 1e36 au lieu de zéro.
Dans le forum Compound, les développeurs discutant de l’incident pensent que ce serait une bonne idée de s’engager dans des tests et des audits rigoureux avant les modifications majeures du code. ®