Exploit interne de Munchables

Le 26 mars 2024, le jeu NFT Blast Munchables a perdu 17 413 ETH — environ 62,8 millions de dollars à l'époque — au profit de l'un de ses propres développeurs. Après négociation, l'attaquant a restitué chaque centime sans demande de rançon.

Ce qui s'est passé

Quelques mois plus tôt, Munchables avait engagé quatre développeurs pour écrire ses contrats intelligents. L'enquêteur on-chain ZachXBT a ensuite montré de fortes preuves que les quatre personnages de développeurs étaient le même individu — probablement un opérateur nord-coréen travaillant sous plusieurs alias, notamment l'utilisateur GitHub Werewolves0493.

Le développeur avait écrit le contrat lock du jeu, qui détenait les dépôts des utilisateurs, et de manière cruciale avait conservé la capacité de le mettre à niveau. Des mois après le déploiement, ils ont fait exactement cela — en poussant une mise à niveau qui s'assignait un solde déposé de 1 000 000 ETH, bien plus que ce que le contrat détenait réellement. Ils ont ensuite retiré le solde complet du pool de 17 413 ETH contre ce faux solde.

Conséquences

• Les fondateurs de Munchables ont négocié publiquement avec l'attaquant via des messages on-chain. En environ 24 heures, le développeur a restitué toutes les clés privées contrôlant les fonds volés — aucune rançon payée.
• Munchables a mis en pause les opérations, terminé un audit de contrat d'urgence et migré vers un contrat lock redessiné.
• L'épisode a confirmé les soupçons de longue date concernant les opérateurs nord-coréens se plaçant comme développeurs distants dans des projets crypto. ZachXBT a documenté des engagements similaires dans une demi-douzaine d'autres protocoles, plusieurs autres équipes coupant ensuite discrètement leurs liens avec des contractants suspects.

Pourquoi c'est important

Munchables a cristallisé le modèle de menace de développeur interne pour la crypto. Le recrutement ouvert, les contributeurs anonymes et les flux de travail distants sont au cœur de la façon dont l'industrie évolue rapidement — et ce sont exactement les conditions dans lesquelles une infiltration planifiée à long terme est la plus difficile à détecter. Le KYC pour les contractants ayant un accès commit privilégié est devenu plus courant depuis, en particulier pour tout développeur pouvant déployer des mises à niveau de contrats.