- ZetaChain a indiqué que les attaquants avaient exploité une faille inter-chaîne sur le réseau lundi dernier.
- Le réseau a confirmé que les fonds des utilisateurs restaient en sécurité malgré une perte de 334 000 $.
- L’attaquant a aligné 3 problèmes dans le système de messagerie cross-chain pour exploiter ZetaChain.
Le réseau de couche 1 ZetaChain a officiellement confirmé un exploit ciblé sur sa plateforme impliquant une préparation délibérée, incluant le financement de Tornado Cash et l’usurpation d’adresses de portefeuille.
334 000 $ volés à travers quatre chaînes
Dans son dernier article sur X, l’équipe de ZetaChain a déclaré que l’attaque affectait certaines fonctionnalités d’appels arbitraires de GatewayEVM, entraînant environ 334 000 $ de pertes sur quatre chaînes connectées.
Cependant, le réseau blockchain a noté que l’exploit n’affectait pas les transferts ZETA inter-chaînes ni les fonds des utilisateurs. Selon la plateforme, tous les portefeuilles affectés par l’attaque étaient contrôlés par ZetaChain. Parallèlement, l’équipe a immédiatement déployé un correctif mainnet et promis de réactiver les transactions inter-chaînes suspendues après une surveillance continue.
Que s’est-il passé lors de l’attaque ?
L’attaque en question a eu lieu le lundi 27 avril, lorsque l’attaquant aurait aligné trois problèmes dans le système de messagerie inter-chaîne et tiré parti de la chaîne axée sur l’interopérabilité. Par la suite, le système inter-chaînes de ZetaChain permettait à quiconque de demander des « appels arbitraires » avec des restrictions minimales. Pendant ce temps, le contrat GatewayEVM à l’extrémité réceptrice acceptait la plupart des commandes, y compris « transferFrom ».
La dernière partie de l’attaque impliquait que des utilisateurs ayant précédemment déposé des jetons via « GatewayEVM.deposit() » se voyaient accorder des autorisations illimitées à dépenser des jetons sans révocation. Selon ZetaChain, l’attaquant a exploité cette faille pour siphonner les jetons des portefeuilles.
L’équipe de ZetaChain a constaté que l’exploiteur avait investi beaucoup de temps et de ressources dans la préparation avant d’exécuter l’attaque. L’équipe a déclaré que l’attaquant avait mis trois jours à financer son portefeuille via Tornado Cash, dans le but de masquer la source des fonds. Parallèlement, l’attaque proprement dite consistait à lancer une attaque de force brute sur une adresse personnalisée, imitant le portefeuille d’une victime, reflétant une technique classique d’empoisonnement d’adresses qui pouvait encore plus masquer les activités malveillantes sur la chaîne.
ZetaChain rassure les utilisateurs
En attendant, ZetaChain a recommandé aux utilisateurs ayant déjà interagi avec les contrats de passerelle ZetaChain de révoquer toute allocation de jetons ERC-20 en cours accordée aux adresses de passerelle identifiées. L’équipe du réseau a indiqué que cette mesure était préventive, afin de garantir la protection des fonds des utilisateurs.
Le réseau a rassuré les utilisateurs sur son engagement envers l’écosystème ainsi que sur la feuille de route et la mission à long terme d’origine, qui restent inchangées.
En lien avec : Prédiction de prix de ZetaChain (ZETA) 2024-2030 : ZETA va-t-elle battre de nouveaux sommets ?
Disclaimer: The information presented in this article is for informational and educational purposes only. The article does not constitute financial advice or advice of any kind. Coin Edition is not responsible for any losses incurred as a result of the utilization of content, products, or services mentioned. Readers are advised to exercise caution before taking any action related to the company.
