Des ingénieurs découvrent un bogue de portefeuille Slope derrière un piratage basé sur Solana de 6 millions de dollars

Après une période intense de 24 heures, les chercheurs en sécurité et les ingénieurs de Solana Labs ont lié le récent piratage de portefeuilles spécifiques basés sur Solana à un bug critique chez un fournisseur de services de portefeuille. Les développeurs de Slope Finance ont envoyé par erreur un code permettant de transférer des phrases de départ générées par l'utilisateur à un acteur malveillant en texte brut. 

Le hack avait clés privées ciblées associées à l'écosystème Solana, avec des portefeuilles violés signant automatiquement les transactions sans autorisation de l'utilisateur. Les pirates ont transféré les actifs SOL et USDC des utilisateurs.

Bien que certains utilisateurs d'autres portefeuilles tels que Phantom, Trust Wallet et Solflare aient également été concernés, les résultats suggèrent que cette catégorie d'utilisateurs avait soit créé, soit transmis sa phrase de départ via Slope Finance à un moment donné.

L'équipe de Solana a précisé que l'attaque n'a pas eu d'impact sur le réseau sous-jacent, car celui-ci est resté pleinement fonctionnel tout au long de l'incident. On estime que 7950 6 portefeuilles ont été vidés, rapportant au(x) pirate(s) environ XNUMX millions de dollars de profits illicites.

Les risques de sécurité Web3 persistent

Le dernier hack d'actualités du portefeuille Solana arrive moins de 24 heures après que les pirates ont vidé le protocole inter-chaînes Nomad Bridge de près de 200 millions de dollars. Les observateurs du secteur conviennent que la prévalence de ces risques de sécurité sape l’intérêt du public pour l’expérience Web3 et pourrait potentiellement freiner l’appétit des investisseurs. Cependant, ces incidents offrent à l’industrie l’occasion de faire face à ces risques de sécurité en vue d’une adoption généralisée.

Par exemple, le piratage du portefeuille Solana Slope a été fortement lié à la nature fermée de la base de code du projet. De tels incidents sont évitables si les projets Web3 s'engagent dans le développement open source. Parallèlement, les utilisateurs peuvent également ajouter une couche de sécurité renforcée en utilisant des portefeuilles matériels sécurisés qui stockent les clés privées hors ligne.