Incidents associés
Le Dao, le Hack, le Soft Fork et le Hard Fork Antonio Madeira 12 mars 2019
Quel était l'incident du DAO ?
Dans ce guide, nous essayons de couvrir : comment et pourquoi le DAO a été créé, comment le DAO a été exploité, comment le soft fork a lamentablement échoué, et pourquoi tout le monde en a été soulagé, et comment le hard fork a conduit à une scission communauté et le création d'Ethereum Classic.
Partie 1 : Le DAO - Évolution du fonds de capital-risque
L'organisation autonome décentralisée (connue sous le nom de DAO) était censée fonctionner comme un fonds de capital-risque pour l'espace crypto et blockchain. L'absence d'une autorité centralisée réduisait les coûts et offrait en théorie plus de contrôle et d'accès aux investisseurs.
Début mai 2016, quelques membres de la communauté Ethereum ont annoncé la création de The DAO, également connu sous le nom de Genesis DAO. Il a été construit comme un contrat intelligent sur la blockchain Ethereum. Le framework de codage a été développé en open source par l'équipe Slock.it mais il a été déployé sous le nom "The DAO" par des membres de la communauté Ethereum. Le DAO avait une période de création au cours de laquelle n'importe qui était autorisé à envoyer de l'Ether à une adresse de portefeuille spéciale en échange de jetons DAO sur une échelle de 1 à 100. La période de création a été un succès imprévu car elle a réussi à rassembler 12,7 Ether (d'une valeur d'environ 150 millions de dollars à l'époque), ce qui en fait le plus gros financement participatif de tous les temps. À un moment donné, lorsque Ether se négociait à 20 $, le total d'Ether de The DAO valait plus de 250 millions de dollars.
Le DAO était un Smart Contract complexe avec de nombreuses fonctionnalités et aurait dû permettre aux entreprises de faire des propositions de financement. Une fois qu'une proposition a été inscrite sur la liste blanche par l'un des conservateurs, les détenteurs de jetons DAO (alias investisseurs DAO) devraient alors voter sur la proposition. Si la proposition recevait un quorum de 20 %, les fonds demandés seraient versés à l'adresse du portefeuille de l'entrepreneur figurant sur la liste blanche. L'équipe de conservateurs qui pourrait mettre en liste blanche les adresses a été mise en place afin d'éviter les propositions de spam et afin d'avoir une certaine surveillance humaine dans le processus automatisé. La plupart des conservateurs étaient des membres notables de la communauté Ethereum.
Afin de permettre aux investisseurs de quitter l'organisation, au cas où une proposition qu'ils considéraient comme préjudiciable ou de mauvaise qualité était acceptée, le DAO a été créé avec une "porte de sortie" connue sous le nom de "split function". Cette fonction permettait aux utilisateurs d'inverser le processus et de récupérer l'Ether qu'ils avaient envoyé au DAO. Si quelqu'un décidait de se séparer de The DAO, il créerait ses propres "Child DAOs" et approuverait sa proposition d'envoyer Ether à une adresse après une période de 28 jours. Vous pouvez également vous séparer de plusieurs détenteurs de jetons DAO et commencer à accepter des propositions au nouveau "Child DAO".
Le lancement de DAO s'est déroulé sans heurts et des propositions ont été créées et votées, des problèmes de sécurité ont été soulevés au cours des semaines à venir, il y a eu un grand appel de la communauté pour un moratoire, mais il n'a pas été mis en œuvre et la plupart des problèmes de sécurité que nous n'avons pas résolus assez rapidement.
Partie 2 : Le piratage
Le 18 juin, les membres de la communauté Ethereum ont remarqué que les fonds étaient drainés du DAO et que le solde global des ETH du contrat intelligent diminuait. Un total de 3,6 millions d'Ether (d'une valeur d'environ 70 millions de dollars à l'époque) a été drainé par le pirate au cours des premières heures. L'attaque a été possible grâce à un exploit trouvé dans la fonction de fractionnement. Le ou les attaquants ont retiré Ether du contrat intelligent DAO plusieurs fois en utilisant les mêmes jetons DAO. Cela a été possible grâce à ce que l'on appelle un exploit d'appel récursif.
Dans cet exploit, l'attaquant a pu "demander" au contrat intelligent (DAO) de rendre l'Ether plusieurs fois avant que le contrat intelligent ne puisse mettre à jour son propre solde. Deux défauts principaux ont rendu cela possible : le fait que lors de la création du contrat intelligent DAO, les codeurs n'aient pas pris en compte la possibilité d'un appel récursif, et le fait que le contrat intelligent a d'abord envoyé les fonds ETH, puis mis à jour le solde de jetons interne.
Il est important de comprendre que ce bogue ne vient pas d'Ethereum lui-même, mais de cette seule application qui a été construite sur Ethereum. Le code écrit pour The DAO comportait plusieurs bogues, et l'exploit d'appel récursif en faisait partie. Une autre façon de voir cette situation est de comparer Ethereum à Internet et toute application basée sur Ethereum à un site Web : si un site Web ne fonctionne pas, cela ne signifie pas qu'Internet ne fonctionne pas, cela signifie simplement qu'un site Web a un problème.
Le pirate a cessé de drainer le DAO pour des raisons inconnues, même s'il aurait pu continuer à le faire.
La communauté et l'équipe Ethereum ont rapidement pris le contrôle de la situation et ont présenté de multiples propositions pour faire face à l'exploit.
Partie 3 : The Soft Fork - Bonne nouvelle pour tout le monde !
Afin d'empêcher le pirate d'encaisser l'Ether de son enfant DAO après les 28 jours standard, un soft-fork a été voté et a failli être introduit. Quelques heures avant sa sortie, quelques membres de la communauté ont trouvé un bogue dans l'implémentation qui a ouvert un vecteur d'attaque par déni de service. Cette fourche souple a été des