Optimism a dévoilé une vulnérabilité critique dans son circuit de remboursement préalable à Lagoon via un post sur le forum de gouvernance d’Optimism. Le problème concernait le chemin de vérification SDM, qui acceptait des charges de remboursement falsifiées sans recomputation, créant un risque dans lequel le système pouvait accepter des données de remboursement qu’il ne devait pas avoir approuvées. Optimism a corrigé la vulnérabilité avant qu’elle ne soit exploitée sur n’importe quelle chaîne de production, sans perte de fonds. La divulgation fournit des détails techniques sur la manière dont la faille de logique de remboursement aurait pu être abusée si elle était restée non résolue, mettant en évidence l’importance des systèmes de vérification dans l’infrastructure Layer 2, où les processus de remboursement déterminent les demandes de valeur et la comptabilité inter-systèmes.
Optimism explique l’importance de la divulgation d’une vulnérabilité avant production
La divulgation d’Optimism relève de la catégorie des problèmes graves trouvés, corrigés avant tout abus, et expliqués publiquement après coup. La vulnérabilité a été classée comme critique parce qu’elle impliquait une logique de remboursement, des chemins de vérification et une comptabilité inter-systèmes, où de petites hypothèses peuvent se transformer en pertes importantes. La divulgation indique que le problème a été corrigé avant que la mise à niveau Lagoon n’atteigne la production et qu’aucun fonds n’a été perdu. Pour les écosystèmes Layer 2, ce processus de sécurité compte car des réseaux comme Optimism servent de milieux de règlement et d’exécution dont d’autres applications dépendent ; ainsi, un problème critique dans l’infrastructure de base peut toucher de nombreux utilisateurs et protocoles s’il atteint la production.
Le chemin de vérification SDM a accepté des charges de remboursement falsifiées sans recomputation
La vulnérabilité portait sur le chemin de vérification SDM acceptant des charges de remboursement falsifiées sans recomputation. Les systèmes de remboursement déterminent à qui revient une valeur, comment les remboursements sont vérifiés et quels messages sont acceptés. Si le système accepte des charges falsifiées, un attaquant pourrait réussir à faire reconnaître par le protocole des demandes qui ne devraient pas exister. La vérification doit confirmer indépendamment quel devrait être le résultat correct, plutôt que de faire confiance aveuglément aux données fournies. La divulgation explique qu’un chemin de remboursement acceptant des informations falsifiées constitue un problème sérieux, tout en précisant clairement que la correction a eu lieu avant un abus en production.
Les réseaux Layer 2 font face à une complexité de sécurité croissante
Les réseaux Layer 2 impliquent des séquenceurs, des ponts, des preuves de faute, des chemins de mise à niveau, des rôles de gouvernance, de la messagerie cross-chain, des systèmes de preuve de fraude, des hypothèses de disponibilité des données et des mises à niveau de protocole. Chaque nouvelle fonctionnalité peut introduire de nouvelles surfaces d’attaque. La mise à niveau Lagoon d’Optimism fait partie de cette évolution plus large. Les divulgations avant la mise à niveau montrent ce qui changeait, ce qui aurait pu mal tourner et comment l’équipe a géré le problème avant un déploiement plus large. La divulgation indique que les systèmes complexes nécessitent une revue constante, car le travail de sécurité doit évoluer aussi vite que les réseaux.
Les divulgations publiques contribuent à l’éducation à la sécurité de l’écosystème
Les divulgations publiques peuvent aider d’autres équipes à vérifier des hypothèses similaires, à améliorer leurs propres chemins de vérification et à comprendre comment les bugs apparaissent dans des processus de mise à niveau complexes. C’est particulièrement vrai à travers les écosystèmes modulaires et Layer 2, où les schémas de conception se répètent souvent. La divulgation d’Optimism fournit des détails permettant à l’écosystème de comprendre le processus de sécurité autour des vulnérabilités, des correctifs et des risques liés aux mises à niveau. La divulgation s’appuie sur des informations publiées dans la divulgation de sécurité sur le forum de gouvernance d’Optimism.
FAQ
Quelle vulnérabilité Optimism a-t-il divulguée dans son infrastructure pré-Lagoon ?
Optimism a divulgué une vulnérabilité critique dans le chemin de vérification SDM, qui acceptait des charges de remboursement falsifiées sans recomputation. Le problème concernait le fait que le système pouvait potentiellement accepter des données de remboursement qu’il ne devait pas avoir approuvées, créant un risque dans la logique de remboursement et la comptabilité inter-systèmes.
La vulnérabilité d’Optimism a-t-elle été exploitée sur une chaîne de production ?
Non. Optimism indique que la vulnérabilité a été corrigée avant d’être exploitée sur n’importe quelle chaîne de production et qu’aucun fonds n’a été perdu. Le problème a été corrigé avant que la mise à niveau Lagoon n’atteigne la production.
Où Optimism a-t-il publié la divulgation de sécurité ?
Optimism a publié la divulgation sur le forum de gouvernance d’Optimism. La divulgation fournit des détails techniques sur la vulnérabilité du circuit de remboursement préalable à Lagoon et sur la chronologie du correctif.
