Compromission du wallet admin d'EasyFi

Le 19 avril 2021, le protocole de prêt basé sur Polygon EasyFi Network a perdu environ 81 millions de dollars lorsque l'attaquant a drainé à la fois les pools de liquidité du projet et un lot fraîchement minté de tokens EASY depuis le wallet admin d'EasyFi.

Ce qui s'est passé

Les contrôles administratifs au niveau protocole d'EasyFi — y compris l'autorité de mint et la gestion de trésorerie — étaient derrière un wallet admin MetaMask unique contrôlé par le fondateur et CEO Ankitt Gaur.

Vers 10h40 UTC le 19 avril, des attaquants ont compromis l'ordinateur physique de Gaur et ont exfiltré les clés privées du wallet MetaMask directement depuis le disque dur. L'équipe a initialement soupçonné un phishing MetaMask ou un exploit d'extension de navigateur, mais l'analyse post-mortem a confirmé que la compromission était au niveau endpoint : un malware sur la machine du CEO a lu le vault chiffré du wallet, brute-forcé le mot de passe et soustrait les clés.

Avec l'accès admin en main, l'attaquant a :

1. Minté 2,98 millions de nouveaux tokens EASY au niveau protocole — valeur 75 M$+ aux prix de marché de l'époque.
2. Drainé environ 6 M$ en stablecoins (USDC, DAI, USDT) directement depuis les pools de liquidité d'EasyFi.
3. Bridgé les fonds via Ren Bridge en Bitcoin (~123 BTC) et de là vers une adresse de blanchiment unique.

Conséquences

• EasyFi a suspendu le protocole et annoncé un plan de récupération via une migration de token vers un contrat repensé avec contrôles administratifs multi-sig + timelock.
• La communauté a absorbé des pertes réelles ; la poursuite on-chain des fonds n'a donné aucune récupération.
• EasyFi n'a jamais retrouvé sa place pré-incident parmi les protocoles DeFi Polygon.

Pourquoi c'est important

EasyFi est l'une des études de cas les plus claires pour démontrer pourquoi la sécurité endpoint des clés admin est le véritable modèle de sécurité, pas ce que promet l'architecture des contrats. Un seul laptop avec le vault MetaMask master sur disque est à un malware près d'être la compromission de tout le protocole. La réponse défensive — signature exclusivement hardware-wallet pour les chemins admin, multi-sig avec signataires géographiquement distribués, actions admin timelockées — était déjà best practice en 2021 mais routinièrement omise par les projets en phase initiale qui n'avaient pas encore appris la leçon EasyFi personnellement.