Scroll, réseau Layer 2 d’Ethereum, a indiqué avoir corrigé une faille touchant le contrat de vérification des preuves de type bundle déployé sur le mainnet Ethereum. Selon un rapport publié par l’équipe sur son forum de gouvernance, et relayé le 11 novembre par le média PANews, la vulnérabilité n’a pas été exploitée.
Ces éléments reposent sur une source unique, la communication de Scroll elle-même. Ils n’ont pas été confirmés de manière indépendante à ce stade.
Chronologie : du signalement au correctif
D’après Scroll, l’équipe a reçu le 3 novembre un rapport de bug bounty décrivant la faille. Le 10 novembre, elle a enregistré un contrat de vérification corrigé pour le batch version 10, ce que Scroll présente comme un fait acquis dans son rapport.
Selon Scroll, les versions précédentes du contrat de vérification ne sont pas concernées par le problème.
Nature de la faille et conditions d’exploitation
Scroll explique que la faille permettait de réutiliser une ancienne preuve valide avec de nouvelles entrées publiques. Cela aurait pu, selon l’équipe, servir à finaliser des state roots et des withdrawal roots arbitraires, c’est-à-dire des états et des retraits non conformes à la réalité du réseau.
L’exploitation n’était toutefois pas ouverte à tous, d’après le même rapport. Elle exigeait soit de détenir le rôle de prouveur sous permission, soit de recourir au mode de traitement par lot forcé, qui ne peut être activé qu’après sept jours sans finalisation.
Aucune exploitation, selon Scroll
Scroll affirme avoir vérifié que la faille n’a pas été utilisée sur le mainnet. Selon l’équipe, les 748 finalisations enregistrées pendant la période d’activité du contrat vulnérable ont toutes reposé sur des preuves normales, et le mode forcé n’a jamais été activé.
Ce qui reste inconnu
Plusieurs points ne sont pas précisés dans les éléments disponibles : la date exacte de mise en service du contrat vulnérable, l’identité du chercheur à l’origine du signalement et le montant éventuel de sa récompense. On ignore aussi si un audit indépendant a confirmé l’absence d’exploitation, et le rapport original n’a pas pu être consulté directement.
L’épisode illustre le rôle des programmes de bug bounty dans la sécurité des rollups à preuves à connaissance nulle, où la logique de vérification des preuves sur Ethereum constitue un point critique.
Sources
- panewslab.com PANews — Scroll完成主网紧急升级，修复证明验证合约漏洞 Consulté le
Commentaires