Trois attaques en quatre jours sur la chaîne : le marché monte, les hackers sont plus "occupés"

Maintenant, il ne s'agit pas de raconter une histoire, mais de savoir qui peut frapper, qui peut modifier les paramètres, et s'il y a quelqu'un qui regarde lorsque les propositions sont mises en chaîne.

Rédigé par : Maher, Foresight News

En moins d'une semaine, trois protocoles de cryptomonnaie sont devenus la cible des attaquants.

Le 20 août, la chaîne de paiement Keeta Network a mis son réseau principal en mode lecture seule, affirmant qu'un composant unique avait un problème de sécurité, puis a demandé aux attaquants de restituer les fonds dans les 72 heures ; le 22 août, le projet métavers The Sandbox a subi une attaque de frappe inter-chaînes, les attaquants ayant frappé une grande quantité de SAND sur Base et BNB Chain, le projet a coupé les ponts entre les deux chaînes, et les agences de sécurité estiment que les réserves réellement retirées s'élèvent à environ 670 000 dollars ; le 23 août, le protocole de prêt à taux fixe Term Finance a vu environ 2843 ETH et 1,68 million USDC transférés en raison de l'exécution d'une proposition de gouvernance, entraînant une perte d'environ 8,5 millions de dollars.

Les trois incidents ne sont pas liés, et les chemins d'attaque sont différents, mais ils se sont tous produits au cours de la même semaine.

Keeta : le réseau principal a été mis en mode lecture seule

Keeta est une chaîne de paiement, son co-fondateur et PDG Ty (compte X @schenkty) a déclaré dans une mise à jour le 20 août qu'il avait soudainement publié un tweet indiquant que la cause de l'incident de sécurité avait été trouvée, le problème étant limité au composant affecté, sans impliquer le système de stabilisation et les systèmes de connexion externes ; le KTA déployé sur Base n'a pas été affecté.

En tant que mesure préventive, le réseau principal a été placé en mode lecture seule, et il sera rétabli en fonctionnement complet après que le correctif ait été testé et des garanties supplémentaires mises en place. L'équipe a également déclaré qu'elle évaluait comment indemniser intégralement les utilisateurs affectés, et a affirmé que les réserves stratégiques pouvaient couvrir les fonds perdus si nécessaire.

Le gouvernement n'a pas encore publié le montant total « volé » vérifié. Lookonchain a détecté qu'une nouvelle adresse avait reçu environ 9,3 millions de KTA (environ 685 000 dollars à l'époque) via un pont inter-chaînes, ainsi qu'environ 2 milliards de GALA, qui ont ensuite été vendus pour environ 1902 ETH (environ 3,64 millions de dollars).

Le 19 août, le prix du KTA est tombé de 0,09 dollar à 0,05 dollar, soit une baisse d'environ 37 %, et il est actuellement remonté à 0,077 dollar.

Le 22 août, Ty a de nouveau publié une déclaration, affirmant que l'enquête avait fait des progrès substantiels et qu'il avait recueilli des preuves pouvant pointer vers les attaquants, y compris les IP liés à l'attaque, les VPN et VPS utilisés, les agents utilisateurs et l'environnement technique lors de la demande non autorisée, les adresses e-mail associées, ainsi que des informations sur les fournisseurs de logiciels et de services d'infrastructure ; les preuves ont été sauvegardées et soumises aux parties concernées. La déclaration exigeait que l'autre partie restitue l'intégralité des gains dans les 72 heures, pouvant être payés en KTA, ETH ou USDC à l'adresse Base. Si le montant total est restitué, Keeta est prête à discuter d'une prime de bug et à clore l'affaire sans poursuites légales ; en cas de retard, elle se réserve le droit de poursuivre légalement et de récupérer les fonds.

Un rapport technique complet sera publié après vérification de l'enquête. Au 24 août, le réseau principal reste en mode lecture seule, les détails de l'indemnisation n'ont pas été publiés, et il est également incertain si la fenêtre de 72 heures sera respectée.

La leçon de cet incident n'est pas compliquée : lorsque la chaîne d'application écrit « qui peut modifier les autorisations » avec des paramètres par défaut laxistes ou contournables, l'arrêt de la chaîne est souvent plus rapide que le correctif. Keeta a choisi de rendre publiques certaines pistes hors chaîne et de fixer un délai de restitution, ce qui est rare dans les affaires de vol ces dernières années, mais savoir si l'argent reviendra et si le rapport pourra être vérifié avec la chaîne est la norme pour évaluer cette approche.

The Sandbox : des faux jetons frappés en quantités astronomiques

Le 22 août, le contrat inter-chaînes SAND de The Sandbox déployé sur Base a été attaqué. Les attaquants ont pris le contrôle des droits de représentation de LayerZero via approveAndCall, frappant continuellement des SAND sans garantie sur le réseau principal Ethereum, ce qui a également affecté BNB Chain. Le niveau central du protocole LayerZero n'a pas été compromis.

Le projet a immédiatement coupé les ponts bidirectionnels avec Base et BNB Chain. L'augmentation nominale a été rapportée à environ 14,9 milliards, avec une exposition nominale au comptant d'environ plusieurs centaines de millions de dollars, mais les véritables réserves retirées et liquidées d'Ethereum sont d'environ 14,75 millions de SAND et environ 80 ETH, soit environ 670 000 dollars. Les SAND sur Ethereum et Polygon, ainsi que les portefeuilles utilisateurs et les garanties sur le réseau principal, n'ont pas été affectés, selon le projet.

Le SAND inter-chaînes utilise l'OFT de LayerZero : la frappe de l'autre côté doit correspondre à la garantie verrouillée sur le réseau principal, et les nœuds représentants décident qui peut frapper sur la chaîne cible. La vulnérabilité réside dans le contrat de l'équipe du projet approveAndCall, qui a été utilisé pour modifier les droits de délégation, rendant ainsi la frappe inter-chaînes falsifiée effective.

L'équipe officielle a déclaré que la vulnérabilité était sous contrôle, n'affectant pas plus de 0,01 % de l'offre totale, et a averti les investisseurs de ne pas échanger de SAND sur Base ou BSC. Les échanges Upbit et Bithumb ont suspendu les dépôts et retraits.

Au moment de la rédaction, le prix du SAND est tombé de 0,05 dollar à 0,045 dollar.

Term Finance : la proposition a été suspendue pendant six jours, les fonds ont été transférés selon le processus de gouvernance

Term Finance est un protocole de prêt à taux fixe sur Ethereum. Le 23 août, une transaction Ethereum a exécuté une proposition de gouvernance qui avait été publiée sur la chaîne pendant environ six jours. Le vote sur la page de vote avait zéro vote contre. Le contenu de la proposition incluait la fermeture de l'ancien délai de transaction d'environ 7 jours (timelock), puis le transfert d'environ 2842 WETH du ETH Meta Vault.

Environ 20 minutes plus tard, une deuxième transaction a transféré environ 1,68 million USDC de cinq coffres USDC, qui ont été échangés contre DAI. PeckShield a estimé que l'attaquant avait retiré environ 2843 ETH (environ 6,9 millions de dollars à l'époque) et 1,68 million USDC.

Cet incident n'était pas une réentrance de contrat intelligent, ni une manipulation d'oracle, mais la gouvernance a suivi le processus de conception du protocole « soumettre --- attendre --- aucun vote contre --- exécuter ». Une analyse externe a déclaré que l'attaquant avait obtenu presque tous les droits de vote du coffre stratégique USDC, ainsi que près de 90 % du contrôle du ETH Meta Vault, et a ensuite écrit le transfert de fonds comme une gouvernance valide.

À ce jour, Term Labs a déclaré que tous les Term Meta Vaults ont été fermés, que le rôle de gouvernance DAO a été révoqué, que cette fermeture est irréversible et qu'aucun dépôt supplémentaire n'est autorisé. Les retraits peuvent toujours être effectués. L'équipe officielle a déclaré qu'en fonction des enquêtes actuelles, le protocole de base Term et son marché de prêt direct n'ont pas été affectés, et qu'elle travaille avec des équipes de sécurité externes pour coordonner les mesures de remédiation et de récupération.

Les attaques de gouvernance ne sont pas rares ces dernières années. Lorsque le pouvoir de vote est concentré et que la participation au vote est faible, ce type d'attaque est particulièrement efficace.

En juillet de cette année, le coffre de BonkDAO a été attaqué par une proposition de gouvernance malveillante, entraînant le vol de jetons BONK d'une valeur d'environ 20 millions de dollars. L'adresse de l'attaquant avait acheté des BONK via un portefeuille CEX avant le lancement de la proposition, puis manipulé le vote, et enfin transféré d'énormes fonds selon le processus de gouvernance « public ».

Keeta a arrêté l'ensemble du réseau principal, les autorisations des composants ont été fermées en premier, suivies des compensations et de la récupération dans les 72 heures. Sandbox a coupé les ponts, le papier pouvait imprimer des montants astronomiques, mais les réserves pouvant être échangées s'élevaient à environ 600 000 dollars, et la controverse se concentrera sur la manière dont le LP sera compensé. La proposition de Term a été suspendue pendant six jours, avec zéro vote contre, et la période de refroidissement pouvait encore être fermée par la même proposition, environ 8,5 millions de dollars ont été transférés selon le processus de gouvernance.

Maintenant, il ne s'agit pas de raconter une histoire, mais de savoir qui peut frapper, qui peut modifier les paramètres, et s'il y a quelqu'un qui regarde lorsque les propositions sont mises en chaîne.

Ce contenu est fourni à titre informatif uniquement et ne constitue pas un conseil financier, d'investissement, juridique ou fiscal. Les événements, récompenses, promotions en ligne ou informations mentionnées ici ne doivent pas être considérés comme une recommandation, une sollicitation ou une invitation à acheter, vendre, trader ou effectuer toute autre opération sur des actifs crypto. Les actifs crypto sont très volatils et peuvent entraîner des pertes. La disponibilité des services, produits et événements liés à WEEX peut varier selon les régions. Veuillez vous assurer que votre participation respecte les lois et réglementations locales applicables.