Ethereum: ils volent 80 millions de $ in one click, Rari Capital mis à sac

Funds are not safu – L’écosystème de la finance décentralisée (DeFi) a connu un important essor et comptabilise plusieurs milliers de protocoles. En pratique, the queues of the plupart de ces protocoles a été copié sur d’autres protocoles. Malheureusement, certains développeurs introduisent malencontreusement des failles en copiant et modifiant the tails of a protocole et mettent à risque les fonds des utilisateurs. C’est ce qu’a appris le protocole Fuse géré par Rari Capital lors de son hack ce weekend.

Fuse de Rari Capital: a hack à 80 millions de dollars

Fuse est un protocole de la finance décentralisée d ‘Ethereum développe par Rare Capital. Celui-proposed a service de prêt et d’épargne décentralisé. En pratique, Fuse n’est autre qu’un fork du code du protocole Compound auquel des modifications ont été apportées.

Samedi 30 avril, les équipes de BlockSecentreprise spécialisée dans l’analyse de blockchain, ont annoncé avoir détecté une attaque ciblant le protocole Fuse. Au moment de l’annonce, le butin s’élève à 80 millions de dollars.

Annonce du hack par BlockSec.
Annonce du hack par BlockSec – Source: Twitter.

Par la suite, plusieurs internautes if sont inquiétés concernant the vulnérabilité of the Instance de Fuse déployée sur Arbitrum. Bien que les équipes de Rari aient déclaré “qu’aucune pool Arbitrum n’est vulnérable”, celles-ci ont rapidement été exploitées. Au total, 100 ETHsoit 290 000 $ ont été retirés par l’attaquant sur Arbitrum.

Au total, l’attaquant a dérobé 9 actifs différents, à savoir:

  • 6 037 ETH;
  • 20 251 603 FEI;
  • 14 278 990 FAI;
  • 1 948 952 dollars;
  • USDC 10 055 556;
  • USDT 132 959;
  • 31 615 RAI;
  • 13 101 364 FRAX;
  • 2 765 891 UST.

En parallèle, cette attaque a également violemment impacté le protocole Fei, à l’igine du stablecoin éponyme. Indeed, the protocole opérait une pool sur le marché de Fuse.

>> Faites le choix de la sécurité! Venez vous exposer au Bitcoin aux côtés de Binance (lien affilié). <<

Déroulement de l’attaque

Une fois n’est pas coutume, l’attaquant n’a pas réinventé la roue. Ainsi, ce dernier a exploité une faille dite de reentrancy. Ce type de faille survient lorsqu’une fonction peut faire appel à une autre fonction sans avoir finalisé son exécution.

Dans le cas de Fuse, the fonction exitMarket () permet de retirer des fonds déposés comme collatéral. Cependant, cells-ci ne fait pas les vérifications nécessaires pour s’assurer que les fonds empruntés ont bien été restaurés.

Par conséquent, l’attaquant a pu mener son attaque en 4 étapes:

  • L’attaquant a contracted a flash loan of 150,000,000 USDC and 50,000 WETH;
  • The a déposé 150 000 000 USDC comme collatéral sur Fuse;
  • Contracté a prêt de 1 977 ETH en utilisant le collatéral précédent;
  • Comme la fonction borrow () n’enregistre pas directement utilization du collatéral pour le prêt, l’attaquant a pu directement appeler la fonction exitMarket () he permitting de récupérer son collatéral, tout en gardant les fonds empruntés;

Ces étapes ont ensuite été répétées sur les pools 8, 18, 27, 127, 144, 146 et 156 de Fuse. Une fois les pools siphonnées, l’attaquant a remboursé son flash loan et a entrepris d’envoyer ses fonds sur le protocole Tornado Cash dans le but de les blanchir.

An espoir de restitution des fonds?

Contrairement à bon nombre d’attaquants, celui du protocole Fuse n’a pas envoyé intégralité des fonds via Tornado Cash. Indeed, there is no need to envoyé that 15 millions of dollars on the Tornado Cash protocols.

Rapidement, plusieurs rumeurs ont émergé selon lesquels il serait prêt à return a partie des fonds en échange d’une généreuse récompense de bug bounty de 15 millions de dollars.

De son côté, Rari Capital a proposé a reward of 10 millions of dollars à l’attaquant. He remains maintenant à attendre la réponse de ce dernier.

Rari Capital proposed a fee of 10 million dollars à l'attaquant.
Rari Capital proposed a fee of 10 million dollars à l’attaquant.

Malheureusement pour Fuse, l’attaquant était plus malin que celui du protocole Zeed. Indeed, l’attaquant du protocole Zeed a oublié de récupérer son butin avant de détruire le contrat ayant servi à l’attaque. Résultat des courses, 1 million de dollars bloqués à jamais.

Que vous soyez amateur de DeFi, de Bitcoin ou d’une des cryptomonnaies qui peuplent le marché, il est indispensable que vous disposiez d’un compte sur Binance, acteur majeur de l’écosystème du trading (lien affilié)

Leave a Reply

Your email address will not be published.