Arbitrum suspend temporairement les nouvelles activations Stylus pour des raisons de sécurité

Le Conseil de sécurité d’Arbitrum a déclenché une mesure d’urgence le 2 octobre, en suspendant temporairement les nouvelles activations de contrats Stylus sur Arbitrum One et Arbitrum Nova, selon un avis publié par l’Arbitrum Foundation. L’objectif est de se prémunir contre des programmes WebAssembly "faits main" susceptibles de menacer la continuité du réseau. La suspension ne vise que l’étape d’activation qui rend un contrat Stylus appelable. Pendant sa durée, les développeurs ne peuvent ni activer de nouveaux contrats Stylus, ni réactiver des contrats arrivés à expiration. Les contrats déjà actifs continuent en revanche de fonctionner jusqu’à leur échéance. Comme l’activation correspond au passage d’un contrat déployé à un contrat exécutable, le gel empêche la mise en production de nouvelles applications Stylus et de mises à niveau. Par défaut, une activation dure 365 jours. Les renouvellements "keepalive" restent sans permission (permissionless). Le déploiement et l’exécution de contrats Solidity et EVM ne sont pas affectés. Lancé en septembre 2024, Stylus permet d’écrire des smart contracts compatibles Ethereum dans des langages comme Rust, puis de les compiler en WebAssembly. Le dispositif vise à offrir davantage de personnalisation aux opérateurs de chaîne et des optimisations aux développeurs pour certains contrats clés. La préoccupation porte sur des programmes WASM artisanaux pouvant entraîner un risque de déni de service et, in fine, affecter la vivacité (liveness) du réseau. D’après l’avis, toutes les alertes relevées à ce stade lors d’examens de contrats Stylus ne concernaient que la liveness, sans mise en danger de fonds utilisateurs. Pour mettre en œuvre la suspension, le Conseil de sécurité a relevé le gas requis pour l’activation Stylus à un niveau dissuasif. Il s’agit d’un changement de configuration ne nécessitant pas de mise à niveau d’ArbOS, le logiciel d’exploitation du réseau. La fondation indique rester confiante dans Stylus et prévoit de rouvrir les activations, tout en encadrant les programmes WASM "faits main". La même action d’urgence a aussi ajouté une protection autour des preuves en une étape (one-step proofs) de BoLD sur Arbitrum One. Ce garde-fou vise un scénario où des preuves contradictoires seraient acceptées, ce qui pourrait retarder des retraits non confirmés. En cas de suspension liée à ce mécanisme, Arbitrum One continuerait à traiter les transactions normalement. La mise à niveau ArbOS 61 a déjà renouvelé l’ensemble des contrats Stylus actifs sur Arbitrum One. Aucun contrat actuellement actif sur ce réseau n’expire avant le 20 août 2027. Pour la suite, l’Arbitrum Foundation indique qu’elle travaillera avec l’ArbitrumDAO afin de déterminer quand et comment rouvrir les activations. Aucun calendrier n’a encore été fixé. Cette suspension s’inscrit dans une série récente d’événements de sécurité autour d’Arbitrum, dont l’exploit du bridge AFX Trade de 24 millions de dollars en juillet et un gel de 71 millions de dollars lié à l’attaquant de KelpDAO en avril.