- L’attaquant du Protocole Echo a produit 1 000 faux eBTC d’une valeur de 76,6 millions de dollars.
- L’attaque a été le résultat de pirates ayant compromis la clé privée d’un administrateur.
- Les chercheurs en sécurité estimaient les pertes réelles proches de 816 000 $ dues à une faible liquidité.
Le protocole Bitcoin DeFi Echo Protocol a subi un exploit majeur après qu’un attaquant a pris le contrôle de la clé privée d’administrateur du protocole et a frappé 1 000 eBTC non autorisés sur la blockchain Monad.
La fausse monnaie avait une valeur papier d’environ 76,64 millions de dollars. La plupart des tokens restent bloqués dans le portefeuille de l’attaquant en raison d’une faible liquidité sur les marchés DeFi basés sur Monad.
Cet exploit s’ajoute à une vague croissante d’attaques DeFi ce mois-ci. May a déjà enregistré au moins 14 piratages cryptographiques distincts à travers des protocoles et des ponts.
L’attaquant a utilisé un faux eBTC comme garantie de prêt
Les enquêteurs sur la blockchain ont suivi les déplacements de l’attaquant peu après la révélation de l’exploit. Le portefeuille a déposé 45 eBTC, d’une valeur d’environ 3,45 millions de dollars, dans le protocole de prêt Curvance en garantie. Contre cette position, l’attaquant a emprunté 11,29 WBTC d’une valeur d’environ 867 000 $.
Le Bitcoin emprunté a été transféré en pont vers Ethereum, échangé en ETH, puis transféré via Tornado Cash. Les données on-chain montraient 384 ETH, d’une valeur d’environ 822 000 $ à l’époque, entrant dans la table de mixage.
L’attaquant contrôle toujours 955 eBTC évalués à près de 73 millions de dollars sur le papier. Ces jetons ne sont pas garantis par de vraies réserves en Bitcoin.
Les chercheurs en sécurité ont ensuite estimé le vol réalisé à environ 816 000 dollars, car la liquidité de Monad était trop faible pour que l’attaquant puisse se débarrasser de toute la réserve.
La défaillance de la clé privée a déclenché la faille
Les premières conclusions pointent vers une défaillance de sécurité opérationnelle plutôt qu’une faille de contrat intelligent. Les développeurs suivant l’exploit ont indiqué que le protocole Echo s’appuyait sur une seule clé privée d’administrateur sans protection multisignature, sans verrouillage de temps, sans limites de minage ni taux d’émission.
Une fois que l’attaquant obtenait le rôle d’administrateur, il s’accordait une autorité de frappe et créait presque instantanément l’approvisionnement eBTC.
L’exploit a mis en lumière une autre faiblesse dans les systèmes de prêt DeFi. Curvance a accepté le eBTC nouvellement créé en garantie sans vérifier l’intégrité de l’offre ni son origine avant d’accorder des prêts.
Curvance a ensuite mis le marché concerné en pause. Le protocole précisait que sa conception isolée du marché empêchait les dommages de se propager à d’autres bassins.
D’autre part, Keone Hon, cofondateur de Monad, a déclaré que la blockchain Monad elle-même n’avait pas été affectée par l’exploit. Le protocole Echo a suspendu tous les transferts inter-chaînes pendant que les enquêtes se poursuivent.
Le protocole fonctionne comme une plateforme de liquidité et de rendement Bitcoin qui émet des actifs BTC synthétiques comme l’eBTC pour une utilisation dans des applications DeFi.
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
