Poly Network : le pirate prend plus de 600 millions… puis rend les actifs

Le 10 août 2021, des actifs d’une valeur d’environ 610 millions de dollars quittent Poly Network. Ils circulaient grâce à un système reliant plusieurs blockchains. La plateforme se retrouve face à une anomalie immense : des mécanismes censés contrôler les mouvements ont accepté des opérations illégitimes.

Les analyses techniques décrivent une mauvaise séparation des droits entre des contrats chargés de traiter les messages et de conserver des informations de contrôle. Une opération peut influencer une autorité qu’elle ne devrait pas modifier. La faille porte sur les règles du programme, pas sur la fabrication de bitcoins sans limites.

Poly Network demande aux plateformes et aux acteurs du secteur de signaler ou de bloquer les actifs. Tether gèle une partie des jetons concernés. Les mouvements publics permettent de suivre le butin ; ils ne fournissent pas, à eux seuls, l’identité civile de la personne qui contrôle les adresses.

Puis l’affaire change de direction. L’attaquant commence à restituer des fonds et échange des messages sur la blockchain. Les restitutions se font en plusieurs étapes, notamment par des dispositifs nécessitant plusieurs clés. Un transfert vers une adresse commune ne signifie pas encore que les utilisateurs peuvent immédiatement récupérer leur argent.

Les analyses et annonces ultérieures décrivent le retour de la quasi-totalité des actifs. L’attaquant présente sa propre version de ses intentions. Elle ne constitue pas une preuve indépendante qu’il s’agissait depuis le départ d’un geste altruiste, ni une autorisation d’emporter les fonds.

Ce casse est remarquable par son ampleur et par son dénouement inhabituel. Le retour des actifs ne supprime pas la faille qui l’a rendu possible : la défense d’un système dépend aussi des pouvoirs qu’il accorde à ses propres composants.