Vendredi, Dan est en réalité un avocat et un programmeur, selon son compte Twitter. Selon son analyse, il cherche à profiter des autres utilisateurs. L'utilisateur a envoyé par inadvertance les mauvais jetons au contrat intelligent. Robinson a vu le problème sous ses yeux lorsqu'il a été contacté par un utilisateur d'Ethereum. Un individu souhaitait fournir de la liquidité à une paire d'échange sur Uniswap. Les tokens du pool sont souvent obtenus après avoir déposé les tokens initiaux dans le pool. Ils peuvent par la suite récupérer les tokens initiaux ainsi que les intérêts gagnés en fournissant des liquidités. Mais au lieu d'envoyer les jetons obligatoires, il a envoyé par erreur les Pool-tokens associés. Les jetons envoyés par erreur valaient environ $12.000. À l'origine, Robinson a supposé que ces jetons étaient perdus une fois pour toutes. Tout simplement,
Récupérer les jetons
Robinson a alors supposé qu'il n'avait qu'à appeler la fonction burn avec l'adresse de l'utilisateur pour récupérer les jetons, et tout serait parfait. Mais il n'a pas agi immédiatement, il l'a plutôt considéré. Ce n'est vraiment pas un secret que les robots scrutent constamment le pool de mémoire d'Ethereum à la recherche de telles opportunités. Il est vraiment évident que, partout où il y a une chance de gagner du profit, d'autres vont essayer de l'atteindre aussi. Les bots tenteront d'écraser ces transactions en faisant la course pour qu'elles soient incluses en premier dans les blocs (par exemple, en utilisant des frais plus élevés).
Les contrats Uniswap sont standardisés. N'importe qui peut ouvrir un nouveau pool ayant une paire de contrats ETH/ERC-20 ou ERC-20/ERC-20. Par conséquent, il est vraiment plus facile pour les agents malveillants d'analyser le pool de mémoire à la recherche de plusieurs appels de fonction, que de surveiller chaque contrat intelligent. Chaque fois qu'une transaction appelant la fonction "burn" atterrit dans le mempool, les attaquants sont alertés.
Robinson savait que quelqu'un attendait avec impatience ce cadeau, qu'il allait remettre en appelant la fonction "burn". Il a pris la décision de demander l'aide d'un spécialiste pour masquer la transaction. À cette fin, il a installé deux contrats intelligents sur le réseau principal. L'un d'eux appelle la fonction de combustion, après avoir été activé par un autre.
Les Bots étaient plus rapides
A cause de quelques mésaventures. Cette petite erreur était tout ce dont les attaquants avaient besoin pour réussir. Robinson admet avoir fait des erreurs, et qu'il était presque certainement possible de récupérer les jetons en faisant plus attention. Mais il identifie simultanément un problème plus important.
Les mineurs auraient pu exécuter cette étape beaucoup plus efficacement. Robinson écrit que cet exemple de "frontrunning" est l'un des nombreux exemples qui se produisent chaque jour. Les incitations financières pourraient motiver les mineurs à accomplir exactement la même chose que ces bots, mais avec des avantages significatifs. Les mineurs n'ont pas besoin de pousser les transactions vers le mempool, mais pourraient les inclure directement dans le bloc une fois que c'est leur tour, tout en omettant les transactions qu'ils essaient d'écraser. De plus, ils pourraient n'avoir qu'à simuler des frais de gaz plus élevés, car ils gagneront ces frais en minant le bloc. Bien plus encore, les mineurs pourraient ignorer les blocs précédents, si l'incitation financière est suffisante. Cela rend les chances de profit plus élevées.
Y a-t-il un remède ?
Robinson appelle les lecteurs à le contacter s'ils envisagent ce problème ou s'ils se concentrent sur des solutions possibles. Daniel Larimer, le développeur du logiciel EOS, a repris votre billet de blog sur Twitter :
Pour cette raison, #ethereum n'est pas adapté à #defi. Les problèmes décrits n'existent pas sur #EOS puisqu'il est à la fois trop rapide pour le front run et que les producteurs sont connus et seront tenus responsables. Ce qui se passe sur #eth est effrayant.
EOS est effectivement mêlé au développement de DeFi, mais reste néanmoins à la traîne derrière Ethereum comme le reste des plateformes. Cela reste à observer. Mais cela vaut certainement la peine de le suivre.