Beanstalk : il emprunte le poids nécessaire pour voter son propre casse

Le 17 avril 2022, Beanstalk subit une attaque qui touche sa gouvernance. Le système permet aux détenteurs de certains droits de voter des décisions exécutables. L’attaquant cherche donc moins à forcer une serrure qu’à réunir assez de voix pour que le protocole ouvre lui-même la porte.

Il obtient temporairement un important pouvoir de vote au moyen de capitaux empruntés. Une proposition malveillante est approuvée puis exécutée dans des conditions qui ne protègent pas suffisamment contre cette concentration soudaine. L’emprunt est remboursé dans le déroulement de l’opération.

Les analyses évaluent les avoirs et garanties perdus par le protocole autour de 182 millions de dollars. Le bénéfice effectivement emporté par l’attaquant est plus faible : les coûts et les capitaux nécessaires à l’opération doivent être distingués du trou laissé dans le système.

Les mouvements publics rendent l’attaque visible aux observateurs. Le projet interrompt son fonctionnement et réexamine ses règles de gouvernance. Une collecte destinée à recapitaliser le protocole est organisée ; le redémarrage n’est pas la preuve que tous les dommages ont disparu.

L’identité de l’auteur n’est pas établie dans les sources retenues. Le fait que l’opération ait employé les fonctions prévues par le programme ne lui confère pas, à lui seul, une légitimité à s’approprier les avoirs d’autres personnes.

La question que pose Beanstalk est redoutablement simple : une démocratie financière peut-elle se protéger si quelqu’un peut louer assez de bulletins pour une seule décision, puis les rendre juste après le vote ?