Mixin Network perd 200 M$ dans une violation de base de données cloud — les utilisateurs priés d'en absorber la moitié

Aux premières heures du 23 septembre 2023, des attaquants ont compromis la base de données du fournisseur de services cloud de Mixin Network et se sont emparés d'environ 200 millions de dollars d'actifs de la chaîne principale. Mixin — un réseau de transfert inter-chaînes revendiquant un million d'utilisateurs, environ 1 milliard de dollars d'actifs sous garde et la prise en charge de 48 blockchains — a suspendu tous les dépôts et retraits et a fait appel à Google et à la société de sécurité SlowMist.

La réponse a révélé la structure réelle de l'entreprise. Un message on-chain offrait au voleur une prime de 20 millions de dollars pour restituer le butin, et le fondateur Feng Xiaodong a déclaré aux utilisateurs lors d'une diffusion en direct en mandarin que Mixin restaurerait jusqu'à 50 % des fonds volés, le reste étant converti en jetons obligataires que l'entreprise promettait de racheter plus tard. Les critiques ont relevé l'ironie d'une infrastructure « décentralisée » défaillante au niveau d'une seule base de données cloud.

La violation est survenue lors de la pire période de 2023 pour les compromissions de crypto tierces : quelques jours plus tôt, Elliptic avait attribué au groupe Lazarus de la Corée du Nord le vol de 54 millions de dollars chez CoinEx, et Mixin était la troisième entreprise crypto en une semaine touchée via un fournisseur, après OpenSea et Nansen. Le bilan de Mixin ne pouvait pas absorber une perte équivalant à un cinquième de son capital comme aurait pu le faire celui d'une grande plateforme d'échange — la moitié a donc été transférée sur les registres des utilisateurs sous forme de papier.

Environ 200 M$ de crypto des utilisateurs — soit environ 20 % du capital de l'entreprise ; dépôts et retraits gelés ; utilisateurs se voyant offrir la moitié de leur argent, l'autre moitié en IOU

Garder la custody derrière une seule base de données de fournisseur de services cloud a recréé exactement le point central qu'un protocole décentralisé existe pour éliminer.

Une prime de 20 millions de dollars sur 200 millions de dollars de butin reconnaissait que l'entreprise ne pouvait pas récupérer les fonds techniquement et espérait que le voleur négocierait.

La promesse de restauration de 50 % plus les jetons obligataires ont transformé un échec opérationnel en dette portée par les utilisateurs tout en maintenant l'entreprise en vie.

Les violations chez les fournisseurs d'OpenSea, Nansen et CoinEx le même mois ont montré que l'infrastructure tierce fait partie de la surface d'attaque, et non l'extérieur de celle-ci.

Un protocole peut se dire décentralisé alors que l'argent de ses utilisateurs repose derrière une seule base de données cloud. Lorsque la custody est centralisée, les pertes retombent sur ceux dont la créance est la plus faible — généralement les utilisateurs.

Les dépôts et retraits sont restés suspendus pendant que Mixin travaillait aux correctifs de vulnérabilité, la diffusion en direct du fondateur et le message de prime on-chain constituant la comptabilité publique de l'entreprise. Le plan de restauration à 50 % plus jetons obligataires a placé la moitié manquante de l'argent des utilisateurs sur leurs propres registres jusqu'à ce que Mixin puisse racheter les IOU. La violation a clos un trimestre brutal pour l'infrastructure crypto tierce : OpenSea et Nansen compromis via des fournisseurs, CoinEx vidé de 54 millions de dollars lors d'un raid qu'Elliptic a attribué à Lazarus, et près de 240 millions de dollars dérobés lors de cinq piratages dans les 104 jours précédant la chute de Mixin.