Protocole de prêt Euler Finance a été touché par une attaque de prêt flash de crypto-monnaie dimanche, l’acteur menaçant ayant volé 197 millions de dollars en plusieurs actifs numériques.

Le vol de crypto-monnaie impliquait plusieurs jetons, dont 8,75 millions de dollars en DAI, 18,5 millions de dollars en WBTC, 33,85 millions de dollars en USDC et 135,8 millions de dollars en stETH.

Le portefeuille ETH de l’attaquant utilisé pour stocker les fonds volés est suivi, il sera donc difficile pour l’auteur de déplacer les fonds volés et de les convertir sous une forme utilisable.

Cependant, Elliptic rapporte que les acteurs de la menace blanchissent déjà les produits via le mélangeur de crypto-monnaie sanctionné Tornado Cash.

La startup derrière Euler Finance, basée au Royaume-Uni, Euler Labs, a partagé une brève déclaration sur Twitter, disant qu’elle s’engage actuellement avec des professionnels de la sécurité et des forces de l’ordre et publiera plus d’informations lorsqu’elles seront prêtes.

L’attaque a fait chuter la valeur du jeton Euler (EUL) de 44,2 % du jour au lendemain, passant de 6,56 $ à 3,37 $ lors de la rédaction de cet article.

Les attaques de prêt flash exploitent une vulnérabilité dans un protocole de prêt pour emprunter une grosse somme d’argent sans avoir à restituer sa valeur au service.

Les attaquants utilisent un exploit qui leur permet de manipuler le prix d’un jeton ou d’un actif sur la plate-forme pendant les quelques secondes où ils détiennent le montant prêté, de sorte que lorsque l’échange est terminé, ils se retrouvent avec un profit énorme.

Une attaque de prêt flash similaire a ciblé la plate-forme Beanstalk DeFi en avril 2022, lorsque des acteurs de la menace ont volé 182 millions de dollars d’actifs.

La société de sécurité et d’analyse de la blockchain PeckShield a rapporté que le piratage d’Euler avait été rendu possible en raison de la logique défectueuse de son système de don et de liquidation.

Plus précisément, la fonction « donateToReserves » n’a pas vérifié que l’attaquant faisait don d’une somme sur-garantie, et le système de liquidation n’a pas correctement vérifié le taux de conversion de l’emprunt en actif collatéral.

Faille logique d’Euler Finance (PeckShield)

Ces failles ont permis aux attaquants de manipuler le taux de conversion pour profiter du processus de liquidation.

PeckShield indique que l’attaque a impliqué deux pirates, un emprunteur et un liquidateur, travaillant en coordination pour effectuer les actions requises illustrées dans le diagramme ci-dessous.

Étapes d’attaque effectuées par les pirates (PeckShield)

Les hacks DeFi ont augmenté au cours des deux dernières années, les pirates abandonnant leurs efforts pour attaquer les échanges et se concentrant sur l’exploitation rapide des failles logiques dans les contrats intelligents de la plate-forme de prêt crypto.

Ces attaques sont si dévastatrices qu’elles peuvent faire dérailler du jour au lendemain une entreprise saine et prospère qui a déjà subi de multiples audits de sécurité.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *