Crypto, les piratages DeFi augmentent en avril – Exploit du contrat Yearn, vidange de bot MEV, mises à jour des remboursements d’Euler et Sushi

PeckShield a signalé tôt jeudi que le protocole de marché monétaire non‑custodial Aave et la plateforme de yield farming DeFi Yearn Finance avaient été touchés par une exploitation. L’équipe de sécurité blockchain a supposé qu’un yUSDT mal configuré avait entraîné le compromis, permettant à l’acteur malveillant de créer une quantité considérable de yUSDT à partir de 10 000 $ USDT.

Yearn Finance impliqué dans le dernier incident de piratage DeFi

L’évaluation initiale partagée par PeckShield indiquait que l’individu/l’équipe exploitant la vulnérabilité « misconfigured » pour une création infinie avait encaissé jusqu’à 11 millions de dollars en tokens Dai (DAI), Tether (USDT), USD Coin (USDC), Binance USD (BUSD) et Tru USD (TUSD). Une mise à jour tweetée par le responsable des intégrations d’Aave, Marc Zeller, a confirmé l’incident, précisant que seule la version 1 du protocole, gelée depuis décembre 2022, était affectée. L’équipe de Yearn Finance a également informé les utilisateurs qu’elle était au courant de l’incident dans un post séparé.

« Nous examinons un problème avec iearn, un contrat obsolète datant d’avant les Vaults v1 et v2. Ce problème semble exclusif à iearn et n’affecte pas les contrats ou protocoles Yearn actuels. iearn est un contrat immuable antérieur à YFI, il a été déprécié en 2020. Les Vaults v1, avec des stratégies évolutives, ont également été dépréciés en 2021. Il n’y a aucune indication qu’ils soient affectés. La version actuelle v2 des Vaults reste également non affectée. »

De manière notable, l’exploitation de prêt flash a entraîné un résultat inattendu – un remboursement du USDT d’un utilisateur d’Aave, les enregistrements en chaîne le montrent. Plusieurs entités de sécurité comme Otter Sec et d’autres équipes associées à Aave ont contribué à analyser l’attaque. La plateforme de suivi DeFi Nansen a noté que l’acteur a envoyé le butin à trois adresses. Les données en chaîne montrent que l’exploitant a déposé 1 000 ETH, représentant une part importante des tokens volés, sur Tornado Cash, probablement pour couvrir ses traces. Un deuxième portefeuille a reçu plus de 4,7 millions de DAI et 2,5 millions de USDC. L’exploitation de la plateforme de prêt Yearn Finance s’inscrit dans une série de plusieurs incidents similaires signalés dans l’espace de la finance décentralisée (DeFi) jusqu’à présent cette année.

Les hackers et escrocs ont dépouillé les investisseurs de 452 M$ au T1, avec un taux de récupération de 29 %

Le fournisseur de données blockchain Chainalysis avait précédemment signalé que les piratages dans le créneau DeFi représentaient 82 % des pertes de 3,8 milliards de dollars dans le secteur crypto en 2022. Dans une mise à jour récente à ce sujet, le fournisseur d’antivirus et d’applications De.Fi a observé que les cybercriminels ont pillé 452 millions de dollars au cours du trimestre qui vient de se terminer. Bien que massif, ce montant représente une forte baisse par rapport à la perte de 1,3 milliard de dollars sur la même période l’année précédente. Ce dernier rapport a également souligné que près de la moitié des pertes du T1 s’est produite au cours des trois premières semaines de mars, l’attaque de prêt flash sur Euler Finance le 13 mars ayant entraîné la plus grande perte du trimestre – 197 millions de dollars. Le duo de plateformes basées sur la blockchain BonqDAO et AllianceBlock a subi un piratage de contrat intelligent début février, perdant 120 millions de dollars. Par ailleurs, l’escroquerie présumée de 45 millions de dollars des investisseurs de CoinDeal, l’attaque de phishing de 16,5 millions de dollars de Monkey Drainer, et une attaque de prêt flash de 8,5 millions de dollars sur Platypus Finance complètent la liste des cinq principales exploitations du trimestre.

Les violations ciblent les novices avec la FOMO

En termes de prévalence, les exploitations de contrats intelligents étaient le type d’attaque le plus courant, représentant 17 incidents, suivies de huit cas de rug pull signalés. Les exploitations de prêts flash sont restées répandues, contribuant à une perte de 200 millions de dollars pendant cette période. De.Fi a également estimé qu’il est clair que, en ce qui concerne les vecteurs d’attaque, les tokens étaient le choix préféré des acteurs malveillants – ils sont simples à lancer et exploitent la vulnérabilité des novices qui craignent de manquer des opportunités. Le prêt et l’emprunt étaient une cible principale, de sorte que bien qu’ils ne représentent que cinq incidents, leurs pertes nettes totalisent 336 millions de dollars. Le BNB était la plus grande victime parmi les chaînes, étant ciblé dans 18 attaques. En termes de récupérations, 130 millions de dollars de fonds volés ont été restitués aux victimes, mais cela représente tout de même une baisse du taux de récupération observé l’année précédente sur la même période, soit 40 % des 1,29 milliard de dollars.

Exploitation liée à un bug de SafeMoon

Dans un incident isolé, la plateforme SafeMoon aurait été compromise le 29 mars via une fonction de burn publique présentée dans une mise à jour récemment déployée. L’attaquant présumé a exploité cette faille liée au bug pour voler jusqu’à 27 000 BNB du pool de liquidité SFM WBNB compromis. L’exploitant a laissé un message, « Hé, détendez‑vous, nous avons accidentellement devancé une attaque contre vous, nous aimerions rendre les fonds, mettre en place un canal de communication sécurisé, parlons‑en. » SafeMoon a indiqué dans un tweet la semaine dernière que le trading avait repris sur sa plateforme.

La mise à jour du 5 avril a également présenté quelques ajustements de tokenomics et indiqué qu’une interface SWaP mise à jour avait été déployée.

« Nous continuons à travailler sur la récupération des fonds du LP […] Nous avons fait de grands progrès et continuons à travailler dur pour revenir à la normale pour tous nos utilisateurs, » SafeMoon a déclaré dans la communication la plus récente de cette semaine.

Violations de sécurité DeFi en avril

Début ce mois, le pont multichaîne Allbridge a subi une attaque le 2 avril. Le hacker a utilisé des techniques de fourniture de liquidité et d’échange pour gonfler le prix du pool et voler des fonds. Cela a été possible car il a pu manipuler le prix d’échange des pools BNB Chain d’Allbridge en agissant à la fois comme fournisseur de liquidité et échangeur.

Protocole cross‑chain Allbridge exploité

L’auditeur de contrats intelligents CertiK a signalé que le protocole cross‑chain avait perdu jusqu’à 549 874 $. D’autre part, la société de sécurité blockchain PeckShield a estimé qu’un total de 573 000 $ avait été exploité – 282 889 $ en BUSD et 290 868 $ en USDT. À ce moment, Allbridge a déclaré travailler avec ses partenaires et sa communauté pour suivre le hacker sur les réseaux sociaux et s’assurer qu’il soit tenu responsable. Le protocole a offert au hacker une prime et une immunité juridique s’il se présentait en tant que white hat – afin de l’encourager à restituer les fonds volés.

1 500 BNB restitués

Apparemment, le hacker a choisi cette option et a restitué 1 500 BNB (465 000 $), qui ont été convertis en BUSD pour aider à régler les personnes affectées, tandis que le reste des fonds volés a été laissé comme prime de white hat. L’équipe d’Allbridge a également noté qu’un second attaquant a utilisé la même technique pour drainer des fonds et n’a pas encore pris contact pour discuter du règlement – Allbridge avait partagé l’adresse de portefeuille de cet exploitant présumé, qui détenait un solde de 0,97 BNB, soit 302,5 $. Mardi, Allbridge a partagé dans un tweet qu’il avait terminé le premier tour de paiements de récupération pour le lot de soumissions déposées au 9 avril, tout en exhortant ceux ayant des problèmes en suspens à poursuivre le processus d’indemnisation de l’exploitation.

Les conséquences de l’exploitation de SushiSwap

Dans un autre incident, la société de sécurité et d’intelligence blockchain PeckShield a signalé tôt dimanche que SushiSwap avait été exploité, un individu, l’utilisateur Twitter oxSifu, perdant environ 3,3 millions de dollars. La société de sécurité et le Head Chef de SushiSwap, Jared Grey, ont tous deux demandé aux personnes affectées de révoquer sur toutes les chaînes. De plus, l’attaque semble avoir touché les personnes qui ont utilisé le DEX au cours des quatre derniers jours. L’exploitation a affecté le contrat ‘RouterProcessor2’ de SushiSwap, qui facilite le routage des échanges. Selon PeckShield, le bug était lié au mécanisme ‘approve’.

Le bug lié à ‘Approve’ laisse certains utilisateurs de SushiSwap à court

Les utilisateurs approuvant ce mauvais contrat ont involontairement permis à l’exploitant de retirer les tokens des utilisateurs sans recevoir l’approbation du propriétaire – ou de les « yoink », ainsi dit‑on. Selon Brad Kay, analyste chez The Block Research, l’attaquant initial, apparemment un hacker white hat, a exploité la fonction ‘yoink’ pour exploiter le contrat du routeur SushiSwap pour 100 ETH, après quoi un second individu a profité du même contrat pour voler environ 1 800 ETH, cette fois en utilisant la fonction « notyoink ».

Efforts de récupération

Grey a confirmé dans une mise à jour que plus de 300 ETH des actifs perdus d’oxSifu avaient été récupérés, avec l’intention d’en récupérer davantage, plus de 700 Ether. Le CTO de SushiSwap, Matthew Lilley, a également indiqué que plusieurs opérations de secours se poursuivent et a exhorté les utilisateurs à revérifier leurs approbations et à scanner et désapprouver toute adresse malveillante éventuellement autorisée pour leurs tokens. Néanmoins, il a assuré les utilisateurs que le protocole Sushi est sûr à utiliser, car l’exposition au RouterProcessor2 a été désactivée du front‑end, garantissant que les activités de fournisseurs de liquidité et d’échange sont sécurisées.

Les victimes ont été entièrement indemnisées

Le responsable de Sushi a déclaré sur Discord que l’équipe envisage de lancer un site de réclamation pour les tokens acquis dans le contrat Merkle Distributor du protocole. Le site sera actif jusqu’à la date d’expiration des réclamations le 23 avril, après quoi les tokens SUSHI non réclamés seront envoyés à la trésorerie de SushiSwap. Dans une mise à jour ultérieure partagée mercredi, la bourse décentralisée basée sur Ethereum a indiqué qu’elle prévoyait de restituer les réclamants affectés.« Si vos fonds se trouvent dans le contrat whitehat, alors cela signifie que des experts en sécurité ont collecté vos fonds, ils sont sûrs et seront réclamables sous peu. Si vos fonds ne résident pas dans le contrat whitehat, vous devez envoyer un e‑mail ou ouvrir un ticket sur notre Discord et inclure : les identifiants de transaction et les données de blockchain des fonds perdus. Les fonds blackhat prendront plus de temps à être traités, car l’équipe devra vérifier manuellement la légitimité à l’aide des données en chaîne qui valident la réclamation, puis les payer en conséquence, » a tweeté SushiSwap.

Attaque de bot MEV sur Ethereum

Dans un autre incident, un validateur rogue s’est emparé de 25 M$ suite à une exploitation de bot MEV sur Ethereum le 3 avril. Plusieurs bots de valeur maximale extractible (MEV) d’Ethereum, qui aident les arbitragistes et les traders à optimiser les opportunités de profit, ont été victimes d’une attaque complexe qui a conduit à la perte de 25 millions de dollars au profit d’un validateur rogue.

Voici ce qui s’est passé

CertiK a expliqué que huit transactions MEV ont été ciblées, car elles exécutaient des trades sandwich – qui consistent à repérer des traders tentant d’acquérir des tokens et à s’interposer entre les trades pour réaliser un profit. Tous ces événements se sont produits dans un seul bloc Ethereum – 6964664, CertiK a noté que les trades sandwich ont commencé avec peu de tokens, et au moment où ils échangeaient des millions, le validateur rogue remplaçait les transactions inverses.

Un total de 25,39 M$ est tombé entre de mauvaises mains, avec une ventilation publiée par la société de sécurité montrant – 64,9 WBTC, 7 460,8 WETH, 5 297 649,9 USDC, 3 027 396 USDT et 1 698 384 DAI. Au moment de la rédaction, les fonds sont principalement détenus dans trois portefeuilles. CertiK a qualifié cela comme l’une des plus grandes exploitations de bots MEV jamais vues, la dernière attaque majeure de ce type datant de septembre 2022, où 800 ETH de gains d’arbitrage MEV ont été volés en raison d’une vulnérabilité d’un bot.

En même temps, l’auditeur blockchain OtterSec a qualifié cela d’attaque préméditée, étant donné que l’attaquant avait préchargé son portefeuille plus de deux semaines auparavant. CertiK a déterminé que les bots n’avaient pas identifié le validateur de nœud comme malveillant et a attribué la faiblesse exploitée à la centralisation du pouvoir parmi les validateurs.

Flashbots a mis en œuvre une correction de fonctionnalité

Flashbots, le créateur du principal programme MEV d’Ethereum, MEV‑Boost, a depuis pris des mesures pour empêcher la récurrence de problèmes similaires. L’équipe a implémenté une nouvelle fonctionnalité qui oblige les relayeurs (qui servent d’intermédiaires de confiance entre les constructeurs de blocs et les validateurs) à signer un bloc et à le publier sur la Beacon Chain avant qu’il ne soit transmis au proposeur. Cette étape, auparavant manquante, peut désormais aider à réduire les risques qu’un proposeur s’écarte du contenu reçu d’un relais. De plus, CertiK a indiqué à CoinTelegraph que d’autres chercheurs MEV pourraient devenir réticents à s’engager dans des stratégies non atomiques, y compris le trading sandwich, car ils semblent être la cible principale.

Les listes noires de Tether liées à une exploitation MEV

Cette semaine, l’émetteur de stablecoin Tether a écrit dans un tweet du 10 avril qu’il avait bloqué l’adresse « Sandwich the Ripper » associée à la récente exploitation MEV. L’adresse Tether détenait 3 millions de dollars en USDT, qui ne peuvent plus être déplacés. L’exploitant possède une somme plus importante du butin, incluant 14,3 millions de dollars en Wrapped Ethereum (WETH) et plus de 3,6 millions de dollars en autres actifs. Tether semble avoir agi dans l’intérêt général et sur des bases raisonnables. Néanmoins, la décision a été critiquée par des groupes qui croient que la mesure crée un « mauvais précédent » dans l’espace crypto. Les actions de mise sur liste noire de Tether pourraient être interprétées comme une censure des transactions, impliquant une autorité centralisée de la part de l’émetteur du stablecoin. Les détracteurs ont pointé du doigt les inquiétudes concernant le potentiel abus de pouvoir et les implications pour le créneau DeFi.

Euler ouvre les remboursements après avoir négocié le retour de tous les fonds volés

Euler Finance a déclaré cette semaine avoir reçu la dernière tranche de remboursements suite aux négociations concernant 197 millions de dollars de crypto volés le mois dernier. Le protocole a indiqué que tous les fonds récupérables avaient été restaurés, mettant ainsi fin au programme de récompense de 1 million de dollars pour des informations sur le piratage. La société d’analyse blockchain Arkham Intelligence a confirmé que le protocole de prêt sans permission a reçu 10 580 ETH, soit 19 millions de dollars, lundi, ainsi que 12 millions de dollars supplémentaires en DAI répartis sur trois transactions. Après l’incident du 21 mars, Euler a proposé une récompense de 19,7 millions de dollars – soit 10 % du montant volé – à l’auteur du vol. De plus, ils ont averti qu’une récompense de 1 million de dollars serait accordée à quiconque fournirait des informations sur l’attaquant si les 90 % restants des fonds volés n’étaient pas restitués. Bien qu’ils aient initialement blanchi 1,8 million de dollars via Tornado Cash, l’attaquant a commencé à rendre l’argent le 18 mars – en commençant par 1,8 million de dollars. L’exploitant a continué à renvoyer les fonds, le plus gros retour étant une somme forfaitaire de 58 737 ETH, soit 102 millions de dollars, le 24 mars. Au moment de la rédaction, un total de 95 556 ETH et 43 millions de DAI avaient été récupérés, tandis qu’une somme de 1 100 ETH était jugée irrécupérable après avoir été envoyée au mixeur de pièces sanctionné. Au milieu de tout cela, le hacker s’est excusé dans une série de messages en chaîne il y a environ deux semaines et a promis de rendre tous les fonds restants. Les tokens renvoyés lundi ont porté le total des fonds récupérés suite au piratage à plus de 177 millions de dollars. Cela représente 90 % des fonds récupérables anticipés après prise en compte de la prime de 10 % offerte par l’équipe d’Euler. Le protocole de prêt non custodial basé sur Ethereum a ensuite indiqué qu’il avait désormais permis aux utilisateurs de racheter les fonds récupérés, mettant ainsi fin à l’exploitation de prêt flash qui avait engendré toutes sortes de chaos. L’assureur DeFi Nexus Mutual, qui a versé 2,4 millions de dollars en réclamations pour leurs pertes attribuables au piratage, a exigé qu’Euler effectue un remboursement. Nexus aurait soutenu Euler en couvrant les pertes, sauf que aucun utilisateur n’a techniquement perdu ses actifs grâce au retour des fonds.

Autres incidents signalés de violations de sécurité

MetaPoint, un projet métavers, a signalé cette semaine qu’il avait été exploité par un attaquant qui s’est emparé de 2 515 BNB. Le hacker a envoyé les fonds vers Tornado Cash, a indiqué PeckShield. Le projet métavers a confirmé l’incident sur Telegram, ajoutant qu’il avait suspendu toutes les opérations. Terraport Finance semble également avoir été victime d’une violation de sécurité, à peine deux semaines après son lancement. Des rapports publiés le 10 avril détaillaient que le portefeuille de liquidité du protocole avait été piraté pour 2 millions. Terraport a déclaré dans une mise à jour qu’il était au courant de l’incident et qu’il cherchait à enquêter sur l’émetteur après avoir sécurisé la plateforme. En dehors de la DeFi, la bourse crypto sud‑coréenne GDAC a déclaré cette semaine avoir été piratée pour près de 14 millions de dollars. Le PDG Han Seunghwan a indiqué que la bourse avait suspendu temporairement les dépôts et retraits afin d’effectuer les remédiations nécessaires, confirmant que les fonds perdus représentaient un peu plus de 20 % de ses actifs custodiaux totaux. Le hacker aurait pris le contrôle de certains des portefeuilles chauds de la bourse tôt le 9 avril (heure standard coréenne) avant de transférer les fonds vers le portefeuille qu’il contrôle. GDAC a perdu environ 61 BTC, 350,5 ETH, 220 000 USDT et 10 millions de la monnaie de jeu WEMIX. Les services de retrait restent indisponibles: Seunghwan a déclaré que la bourse se consacre à enquêter sur l’incident et n’a pas encore élaboré de plan pour permettre la reprise des services actuellement désactivés. L’attaque GDAC constitue le premier piratage majeur d’une bourse crypto centralisée de l’année, survenant un peu plus d’un an après le piratage de Crypto.com pour plus de 15 millions de dollars en janvier dernier.

HTX et Gala Games ont engagé 50 M$ pour indemniser les parties affectées par l’incident pGALA

Suite à une récente collaboration entre Gala Games et la bourse crypto HTX pour renforcer l’écosystème Web3 de la première, le duo a annoncé un plan de distribution de crypto et de licences logicielles d’une valeur allant jusqu’à 50 millions de dollars aux détenteurs de tokens GALA qui ont subi des pertes dans une escroquerie de token utilitaire sur la plateforme en novembre dernier. Les deux parties répartiront équitablement les 50 millions de dollars de compensation à distribuer – la part de HTX sera de 25 millions de dollars, comprenant des liquidités et des avantages utilisateurs représentant 15 millions d’USDT et 10 millions d’actions. De son côté, Gala Games émettra pour 25 millions de dollars de licences de nœuds, et le programme devrait débuter cette semaine. L’incident en question impliquait des hackers qui ont créé pour 1 milliard de dollars de pGALA – un token enveloppé de GALA émis par le pNetwork sur la BNB Chain. Alors que les tokens ont été vendus sur PancakeSwap, les attaquants ont pu drainer 4,5 millions de dollars du pool de liquidité et ont gravement affecté le prix du token GALA.

Une poursuite contre pNetwork est imminente

Le projet GameFi a lancé le mois dernier une action en justice contre pNetwork pour son rôle dans l’attaque. La poursuite alléguait que l’incident avait causé 25 millions de dollars de dommages à Gala Games et réclamait 27,7 millions de dollars pour couvrir les frais engagés liés à la violation, une compensation supplémentaire pour les préjudices, des dommages punitifs et d’autres réparations. De plus, la plateforme a invité d’autres parties affectées à contacter son équipe juridique pour se joindre à la quête de compensation. HTX a indiqué dans l’annonce récente qu’elle soutenait ces efforts. En cas de verdict favorable, tout dommage accordé, moins les frais juridiques, sera converti en tokens GALA puis brûlé.