Vérification de signature manquante de Gym Network

Le 8 juin 2022, la ferme de rendement/style MLM BNB Chain Gym Network a perdu environ 2,1 millions de dollars parce qu'une fonction de dépôt acceptait un paramètre de signature mais ne le validait jamais. L'attaquant a passé une signature non vérifiée et un dépôt forgé pour minter une quantité énormément disproportionnée de récompenses GYMNET à partir d'un dépôt quasi nul, puis a dumpé les tokens.

Ce qui s'est passé

Le flux depositFromOtherContract (ou équivalent) de Gym Network prenait une signature destinée à autoriser l'opération. Le contrat décodait la signature mais ne la vérifiait jamais contre un signataire autorisé. Avec la vérification effectivement absente, l'attaquant a fourni des paramètres arbitraires, déposé un montant trivial et a été crédité d'une énorme récompense GYMNET, qu'il a vendue.

Conséquences

• Gym Network a suspendu le contrat affecté et patché la vérification de signature.
• Le token GYMNET s'est effondré du dump ; une continuation partielle du protocole a suivi.

Pourquoi c'est important

Gym Network est un bug d'école « paramètre signature présent mais non vérifié » — la même classe que KiloEX (2025) et d'autres où l'apparence d'une vérification de sécurité (une signature dans la signature de fonction) donnait une fausse assurance pendant que la vérification réelle était manquante ou cassée. La leçon que le catalogue répète : un mécanisme de sécurité présent dans l'interface mais non imposé dans l'implémentation est pire que rien, parce qu'il fabrique une fausse confiance. Les auditeurs et les tests doivent vérifier que la vérification se déclenche et rejette, pas simplement que le paramètre existe.