Deux DeFi Avalanche (AVAX) piratés en une journée

Aujourd'hui, le 17 février 2023, deux protocoles de financement décentralisé (DeFi) sur la blockchain Avalanche (AVAX) ont été attaqués par des malfaiteurs. Il semble que les chercheurs en chaîne aient réussi à trouver au moins un pirate informatique.

Un jour, deux attentats

Vers 11 h 05 UTC, la société de sécurité de crypto-monnaie PeckShield a publié une alerte concernant un éventuel piratage DeFi. Dexible, un protocole DeFi de trading algorithmique multi-blockchain qui a des versions sur Ethereum (ETH), Avalanche (AVAX), Poly Network (POLY), BNB Chain (BSC) et ainsi de suite, a perdu plus de 1.5 million de dollars en raison de la vulnérabilité de sa base de code.

Hi @DexibleApp, vous devrez peut-être demander aux utilisateurs de révoquer l'allocation ! (La perte est déjà > 1.5 M$). Voici un hack tx : https://t.co/A076AeXsPz pic.twitter.com/HRQ8MBTSGm

- PeckShield Inc. (@peckshield) 17 février 2023

La vulnérabilité a été trouvée dans un contrat de routeur d'échange. L'attaquant a immédiatement commencé à blanchir des fonds via le mélangeur Tornado Cash (TORN). Selon le premier post-mortem publié il y a quelques minutes, la taille réelle des pertes n'a pas encore été calculée :

Cela a permis au pirate de voler des fonds de n'importe quel portefeuille qui avait une approbation de dépenses non dépensées sur le contrat.

En ce moment, l'équipe travaille sur un plan de relance. Tous les contrats sont suspendus. Hier, l'équipe a invité tous les utilisateurs à migrer vers une nouvelle version du contrat intelligent.

De plus, Platypus, un protocole de stablecoin décentralisé basé sur Avalanche, a souffert d'une attaque de 8.5 millions de dollars. Les malfaiteurs ont réussi à organiser une attaque de prêt éclair; le stablecoin USP du projet est tombé en dessous de 0.5 $. En collaboration avec Tether Limited, l'équipe a réussi à geler les fonds sur le compte USDT de l'attaquant.

ZachXBT vient à la rescousse : l'attaquant de Platypus pourrait être trouvé

En ce moment, l'équipe est en pourparlers avec Binance et Circle pour verrouiller le reste du butin des attaquants.

Le chercheur chevronné en crypto-monnaie ZachXBT aide l'équipe de DeFi à récupérer les fonds. Il a affirmé avoir découvert le compte Twitter de l'agresseur. L'attaquant utilise peut-être le domaine retlqw.eth ENS.

Hi @retlqw depuis que vous avez désactivé votre compte après que je vous ai envoyé un message.

J'ai retracé des adresses jusqu'à votre compte depuis le @Platypusdefi exploiter et je suis en contact avec leur équipe et échange.

Nous aimerions négocier le retour des fonds avant de nous engager avec les forces de l'ordre. pic.twitter.com/oJdAc9IIkD

– ZachXBT (@zachxbt) 17 février 2023

Suite à cette déclaration, retlqw.eth a désactivé ses comptes Twitter et Instagram. Cependant, ZachXBT a réussi à lui offrir une prime de bogue au nom de l'équipe Platypus.