Hausse des attaques DeFi en octobre 2022 : Mango et faux correctifs Phantom

Cet article décrit les événements d’octobre 2022. Blockbank, fournisseur de gestion d’actifs numériques et de services en monnaie fiduciaire, a annoncé le 12 octobre l’ajout du réseau Avalanche à son application combinant CeFi et DeFi avec la version V3. Selon l’article, celle-ci a été déployée le 17 octobre, avec des améliorations de vitesse, de stabilité et d’accès aux actifs et protocoles d’Avalanche.

Blockbank s’est associé à plusieurs équipes pour cette offre, notamment l’émetteur d’USD Coin Circle, la plateforme d’intelligence et d’analyse blockchain Chainalysis, et le fournisseur de domaines NFT Unstoppable. La nouvelle version – la plus grande mise à jour de l’application destinée aux consommateurs – propose un design revisité et se concentre sur l’aide aux utilisateurs pour mieux interagir avec leurs actifs numériques. Les utilisateurs bénéficieront d’une plateforme KYC plus rapide, d’un meilleur calcul des frais de transaction et d’échanges pour les tokens ETH, AVAX et BNB. Le responsable marketing de Blockbank a souligné l’amélioration de la sécurité comme un autre développement.

Octobre voit une hausse de l’activité de piratage

L’intégration est l’une des nombreuses observées récemment dans l’espace blockchain, augmentant la popularité de la niche de la finance décentralisée (DeFi). Malgré cet essor, le secteur plus large des cryptomonnaies est resté vulnérable et exposé à diverses formes d’attaques de la part d’acteurs malveillants. Dans une mise à jour de statut partagée le 13 octobre, la société d’intelligence et de gestion des risques Chainalysis a noté que l’activité de piratage a fortement augmenté ce mois-ci.

Chainalysis indiquait alors qu’octobre était déjà le mois de 2022 comptant la plus grande valeur dérobée par piratage. Depuis janvier, plus de trois milliards de dollars auraient été volés lors de 125 attaques. Si cette tendance se poursuivait, le record de 2021 pourrait être dépassé. Il s’agissait d’un bilan provisoire et d’une prévision, pas du résultat définitif de l’année.

L’article évaluait les pertes du 11 octobre, dont l’attaque contre Mango Markets, à environ 120 millions de dollars, avec une estimation de 113 millions pour Mango. Au début du mois, environ 100 millions de dollars auraient quitté le pont BSC Token Hub de BNB Chain. Les quelque 600 millions de pertes sur les ponts et les 82 % cités par Chainalysis désignaient la part des ponts dans les pertes d’octobre déjà recensées, et non un total mensuel de 600 millions.

La DAO de Mango Markets négocie une restitution avec l’auteur de l’attaque

Mango Markets est un protocole de trading DeFi sur Solana ; sa DAO organise les votes de gouvernance. Selon l’article, l’accord de restitution a obtenu 96,6 % du pouvoir de vote exprimé. Il prévoyait le retour d’environ 67 millions de dollars et le maintien d’environ 47 millions chez l’auteur de l’attaque, présentés comme une prime de découverte de faille. La clause de renonciation aux actions judiciaires ne garantissait aucune immunité pénale. Les informations sur l’utilisation de tokens dérobés pour voter sur une proposition antérieure ne doivent pas être confondues avec le vote final sur cet accord.

Avraham Mayer Eisenberg a reconnu pendant le week-end que son équipe et lui étaient à l’origine de l’opération, tout en affirmant qu’il s’agissait de transactions légales. C’était sa position, pas une décision de justice. Il invoquait les créances irrécouvrables du protocole et son fonds d’assurance. L’article rapportait la restitution d’environ 67 millions de dollars en différents actifs. La trésorerie mentionnée était celle du protocole, pas le Trésor public.

« Pour remédier à la situation, j’ai aidé à négocier un accord avec le fonds d’assurance afin de rembourser intégralement les utilisateurs dès que possible et de recapitaliser la plateforme […] Une fois le traitement terminé par l’équipe Mango, les utilisateurs pourront accéder à la totalité de leurs dépôts sans perte de fonds », a écrit Eisenberg.

Parmi les commentateurs figurait Sam Bankman-Fried, alors dirigeant de FTX. Il soulignait les limites des oracles, ces services qui transmettent des données externes aux contrats intelligents : ils ne reflètent pas nécessairement correctement la valeur des positions dans toutes les situations. Ce commentaire ne prouvait pas la découverte d’une faille nouvelle dans tous les oracles.

Peut-être la leçon la plus importante pour Mango Markets et les autres développeurs est la nécessité d’être rigoureux lors du développement de projets DeFi. Le co‑fondateur de Polygon, Sandeep Nailwal a déclaré dans un tweet du 15 octobre que, bien que les blockchains ne résolvent pas encore les problèmes des utilisateurs, elles améliorent la façon dont ils étaient résolus auparavant.

Les utilisateurs du portefeuille Phantom victimes d’une mise à jour factice volant les mots de passe

Début octobre 2022, des attaquants ont diffusé par distributions de NFT des messages imitant une mise à jour de sécurité Phantom. Il s’agissait d’une usurpation destinée à faire installer un logiciel malveillant, et non d’une mise à jour officielle Phantom dont la compromission aurait été établie.

L’avertissement de la mise à jour était rédigé sur un ton d’urgence, conseillant à tort les utilisateurs que « Phantom exige que tous les utilisateurs mettent à jour leurs portefeuilles. Cela doit être fait le plus rapidement possible. Ne pas le faire peut entraîner une perte de fonds en raison de pirates exploitant le réseau Solana »

En cliquant sur le lien joint, les utilisateurs étaient redirigés vers un nouveau site web sous le prétexte de télécharger la mise à jour de sécurité. Là, ils étaient amenés à télécharger à leur insu le fichier malveillant – ‘Phantom_Update_2022-10-08.bat‘. Son exécution pouvait ensuite entraîner le téléchargement et le lancement de windll32.exe. Selon l’analyse VirusTotal citée dans l’article, ce programme cherchait à dérober les données du navigateur, les mots de passe et les clés SSH. VirusTotal est un service regroupant les analyses de plusieurs moteurs de sécurité. Il était conseillé aux victimes de faire contrôler leur appareil avec des outils fiables et de transférer leurs actifs vers un portefeuille créé sur un appareil sûr.