Attaque du protocole Edel : Comment les garanties numériques s'effondrent alors que les prix des actions restent stables ?

Le protocole de prêt dans le domaine de la finance décentralisée (DeFi), Edel, a annoncé une exploitation de 403.000 dollars survenue dans un pool où des actions tokenisées étaient utilisées comme garantie. Selon le communiqué du protocole, aucun déposant ne sera affecté par cette perte et l'équipe va prendre en charge la mauvaise dette créée pour restaurer les soldes affectés un par un. De plus, il a été indiqué que l'architecture de l'oracle du protocole sera reconstruite pour la deuxième version afin d'empêcher qu'une telle faille de sécurité ne se reproduise. La direction d'Edel a garanti qu'elle assumerait l'engagement financier nécessaire pour que l'incident ne nuise pas aux fonds des utilisateurs.

Le mécanisme fondamental de l'attaque a été réalisé en manipulant le taux de change entre le wGOOGLx, la version enveloppée (wrapped) de l'action tokenisée Google d'Edel, et le jeton GOOGLx qui l'entoure. Selon les déclarations d'Edel, cette manipulation a gonflé la valeur de la garantie du wGOOGLx jusqu'à environ 78 fois sa valeur réelle, déséquilibrant ainsi le système. L'examen mené par l'équipe SlowMist a révélé que l'origine du problème résidait dans la source de prix d'Edel et que le système renvoyait le taux `convertToAssets()` d'un coffre de style ERC-4626 en utilisant la méthode `latestAnswer()`. L'attaquant a pu manipuler ce taux de conversion lorsqu'il disposait d'un contrôle de flux suffisant, et comme le prix d'Edel lisait directement ces données, une faille de sécurité s'est créée.

La société de sécurité CertiK, en analysant l'événement du côté du prêt, a indiqué que l'attaquant a manipulé le prix de garantie du wGOOGLx via un mécanisme suivant le solde GOOGLx de ce jeton, puis a emprunté contre la valeur gonflée. L'équipe de GoPlus a déterminé que l'attaquant a utilisé un prêt éclair (flash loan) pour effectuer cette opération et a fourni à plusieurs reprises des garanties et a contracté des emprunts pour perturber le taux de change wGOOGLx/GOOGLx. Grâce à cette valeur de garantie gonflée, l'attaquant a pu allouer des actifs réels au protocole, y compris 384.215 USDC et des positions enveloppées telles que SPYx, QQQx, MSTRx, NVDAx et TSLAx.

Différentes entreprises de sécurité ont annoncé des chiffres différents concernant le coût de l'événement ; Cyvers a estimé la perte à environ 353.000 dollars, GoPlus a évalué la perte à 403.000 dollars et le profit de l'attaquant à 305.000 dollars, tandis que CertiK a mesuré les fonds détruits à 204.000 dollars. On pense que cette différence de chiffres provient du fait que chaque entreprise mesure des métriques différentes telles que la mauvaise dette, la perte brute et le profit net de l'attaquant, et varie en fonction de la manière dont la dimension financière de l'événement est calculée. La défaillance critique résidait dans le taux de change entre le jeton enveloppé et sa sous-jacente, et le marché de prêt d'Edel a tarifé cette relation comme si elle était stable. Il a été souligné que les changements dans le prix de l'action d'Alphabet n'ont pas déclenché cette exploitation, qu'il s'agissait entièrement d'une manipulation technique.

Les données générales du marché, selon les données de RWA.xyz, révèlent que la valeur on-chain des actions tokenisées est d'environ 1,7 milliard de dollars et a augmenté de 2,17 % au cours des 30 derniers jours. Alors que le volume de transfert mensuel se trouve au niveau de 8,92 milliards de dollars, le nombre total d'utilisateurs est enregistré au-dessus de 396.000, exposant ainsi la taille de ce secteur. Des plateformes comme xStocks listent plus de 100 actions et ETF sur plus de 50 plateformes intégrées, tandis que des protocoles comme Kamino se distinguent comme l'un des premiers grands plateformes de prêt à accepter des actions tokenisées comme garantie. Avec le lancement prévu de jetons d'actions et d'ETF par Robinhood pour les clients de l'UE en 2025, le fait que les actions tokenisées se déplacent et se connectent comme d'autres crypto-actifs est présenté comme un argument de vente. Cependant, avec l'incident vécu par Edel, la réalité selon laquelle ces actifs peuvent se casser comme la crypto une fois qu'ils commencent à bouger comme la crypto a été rappelée au marché une fois de plus.