Voir dans le navigateur
Sponsor : Mantle - Le Mantle Global Hackathon, qui se déroule du 22 octobre au 31 décembre, invite les développeurs et les fondateurs à concevoir, construire et déployer des produits RWA et DeFi évolutifs sur Mantle.
Les portefeuilles compromis sont redoutables. Même si vos liquidités sont volées de cette manière, vous pouvez également vous retrouver avec des airdrops non réclamés, des NFT allowlist spots, etc. dans un portefeuille à partir duquel vous ne pouvez pas effectuer de transactions en toute sécurité.
Pourquoi ? Une fois qu'un pirate possède votre clé privée, il peut déployer un robot qui surveille cette adresse sur les réseaux. Dès que vous envoyez du gaz, le robot se jette sur vous et l'évacue. Ainsi, même si vous êtes toujours techniquement "propriétaire" du portefeuille, il peut sembler presque impossible de récupérer les actifs restants.
Mais qu'en est-il d'une solution de rechange ?
EIP-7702 comme primitif de sauvetage
Voici l'EIP-7702.
L'EIP-7702 a introduit un type de transaction qui permet aux portefeuilles 
Ethereum Virtual Machine (EVM) ordinaires de se comporter temporairement comme des portefeuilles de contrats intelligents avancés.
Notamment, cette conception offre une voie de sauvetage pour récupérer partiellement les actifs des portefeuilles compromis. Avec EIP-7702, vous pouvez :
- utiliser un portefeuille de parrainage distinct pour payer l'essence
- Déléguer le portefeuille compromis à un contrat par lots
- Demander à ce contrat par lots d'exécuter une réclamation + un transfert au nom de l'adresse compromise
- Révoquer ensuite la délégation
De cette façon, puisque le portefeuille compromis n'envoie pas directement la transaction (il n'autorise qu'une fois via EIP-7702), vous pouvez contourner les robots balayeurs et évacuer les jetons qui seraient autrement irrécupérables.
L'exemple d'Antidrain
Ce type de flux de récupération est exactement l'objectif d'Antidrain, un outil de sauvetage EIP-7702 construit par Zun et publié plus tôt cette année. Il se positionne comme une application de récupération de dernier recours, côté client, pour des choses telles que les largages aériens et les NFT.
Par exemple, un utilisateur, Moei, a déclaré sur X cette semaine qu'il avait utilisé Antidrain pour sauver son Fwog NFT allowlist spot, en le frappant avec succès et en le transférant vers un portefeuille sûr après la compromission d'une clé privée. Il s'agit d'une récupération non triviale, compte tenu du fait que les Fwogs s'échangent actuellement autour de 700 $ sur OpenSea.
En d'autres termes, cet outil construit des délégations EIP-7702 et des transactions par lots localement dans votre navigateur (c'est-à-dire sans serveur dorsal, sans transmission de clé), ce qui vous permet d'exécuter des opérations de sauvetage sur les chaînes EVM prises en charge.
Cela dit, il s'agit d'un de ces outils qui permettent de "briser le verre en cas d'urgence". Il est important de noter qu'Antidrain demande la clé privée du portefeuille compromis lors de l'installation. En temps normal, c'est un "non" catégorique. Ici, l'idée est la suivante :
- La clé est déjà compromise, donc l'attaquant l'a de toute façon.
- Vous l'utilisez juste une dernière fois pour récupérer tout ce qui est encore récupérable.
- La conception de l'outil est entièrement locale, du moins en apparence. En tant qu'application statique côté client, il construit et signe les transactions dans votre navigateur, et après avoir fouillé dans le code du site, je n'ai trouvé aucune preuve qu'il envoyait des données sensibles à un backend.
Ce dernier point ne fait pas l'objet d'un audit de sécurité formel, bien sûr, mais l'application semble fonctionner conformément à sa conception.
Heureusement, je n'ai pas encore eu besoin de ce genre de ressources, et je n'ai donc pas utilisé Antidrain personnellement. Et pour être clair, coller une clé privée sur un site web est pratiquement toujours une mauvaise idée. Cette solution n'est destinée qu'aux portefeuilles déjà compromis, en guise de dernier recours pour contourner les balayeurs squatters.
Hypothétiquement, si Antidrain était malveillant, le pire des scénarios serait de perdre tout ce qui reste dans votre portefeuille compromis ou de voir votre gaz sponsor ou vos jetons de sauvetage redirigés vers une adresse que vous ne contrôlez pas. Aucun de vos portefeuilles non compromis ne serait en danger, car vous ne téléchargez rien ici et vous n'importez ni ne signez rien avec vos portefeuilles sûrs.
En résumé, si votre portefeuille est compromis et que vous êtes confronté à un robot balayeur, un outil comme Antidrain peut valoir la peine d'être utilisé. Si votre portefeuille n'est pas compromis, vous ne devriez jamais envisager de coller votre clé privée dans une application web.
Vous l'utiliserez donc à vos risques et périls, et uniquement pour les portefeuilles qui ont déjà été brûlés. Mais si vous avez la malchance d'avoir besoin d'un tel outil, le processus de configuration sur le site semble simple. Il s'agit de
- Créer et financer votre portefeuille de parrainage
- Saisir les configurations souhaitées pour le portefeuille
- Définissez les détails de votre sauvetage et l'adresse du destinataire
- Appuyez sur "Exécuter tous les portefeuilles" pour lancer votre transaction par lots.
- Retirer le gaz restant de votre portefeuille de parrainage.
Et c'est tout. Ce système fonctionne mieux pour les flux de sauvetage ponctuels, comme "réclamez cet airdrop et envoyez-le directement dans mon portefeuille sécurisé". Des frais de service de 20 % sont prélevés sur tous les ERC-20 récupérés pour le développement en cours, il faut donc en tenir compte.
Certes, un outil de ce type n'expulsera pas magiquement un attaquant de votre portefeuille, mais il est intéressant de voir le potentiel de l'EIP-7702 pour donner une chance aux victimes de drainer de l'argent. Dans un jour sombre, cela pourrait faire la différence entre sauver quelque chose et tout perdre, alors gardez cette capacité à l'esprit à l'avenir.
