La plateforme de jalonnement liquide Prisma Finance a admis la perte de 3 257 ETH (~ 11 millions de dollars) à la suite d’un exploit le 28 mars. Le pirate informatique a entré en correspondance avec l’équipe concernant un remboursement.
En collaboration avec @PrismaRisk et @wavey0x, nous publions un rapport post-mortem complet sur l’événement d’hier. https://t.co/DljZSs3ssK
Nous sommes pleinement mobilisés pour récupérer les fonds des utilisateurs et nous vous tiendrons informés des prochaines étapes.
L’action la plus importante que les utilisateurs peuvent… pic.twitter.com/MUr1yqqBKX
– Prisma Finance (@PrismaFi) 29 mars 2024
Selon l’enquête, le pirate informatique a exploité deux contrats intelligents conçus pour transférer les postes d’utilisateurs d’un chef de produit Trove à un autre.
« L’incident a été rendu possible en raison d’une validation insuffisante des données d’entrée dans la fonction onFlashloan, ce qui a permis de manipuler les informations et de provoquer un comportement contractuel involontaire », ont expliqué les développeurs.
En plus du montant principal de 3257 ETH, deux autres utilisateurs ont retiré respectivement ~121 wstETH et ~52 wstETH, selon l’explication.
Pour des raisons de sécurité, l’équipe a rappelé aux clients de révoquer l’approbation de la délégation d’actifs.
« Outre la restitution des fonds volés, la priorité absolue de Prisma est de remettre le protocole en marche et de le revitaliser. L’étape la plus importante requise pour mettre fin à la pause est d’assurer la sécurité de tous les portefeuilles et positions des utilisateurs », a écrit un développeur clé sous le nom d’utilisateur Frank.
Au 31 mars, 14 comptes ouverts et approuvés risquaient toujours de perdre des fonds, et cinq portefeuilles risquaient d’avoir environ 500 000 $ d’actifs.
Frank a soumis une proposition à la communauté Prisma visant à réduire temporairement la distribution des parts de commission à 50 % au lieu de 100 %. Le but est d’accumuler des fonds pour restaurer la plateforme. Il a admis que le moment où l’on pourrait sortir de cette situation reste incertain.
Le cambrioleur s’est qualifié de « blanc », mais a posé un certain nombre de conditions
Pendant ce temps, le pirate informatique de Prisma, immédiatement après l’incident, est entré en correspondance avec l’équipe, proposant de restituer les actifs retirés.
Cependant, il a d’abord demandé de répondre à un certain nombre de questions concernant la compréhension des développeurs du concept de contrats intelligents, la nécessité d’audits et leurs responsabilités en cas d’incidents comme celui-ci.
Prisma a admis qu’une partie du code de la dernière mise à jour n’avait pas été vérifiée par des experts tiers et a demandé au pirate informatique de restituer les fonds sans condition. Ce dernier a répondu en accusant l’équipe de manque de sincérité et en suggérant que la vulnérabilité avait été introduite délibérément.
« Chers amis de Prisma, vous n’avez fait preuve d’aucune bonne volonté ! Je suis très déçu de tout ce que vous avez fait. C’était juste un geste incontournable ! Encore une fois, vous n’avez toujours pas révélé les trois facteurs que j’ai évoqués. N’essayez pas de fuir vos erreurs et de vous débarrasser de vos responsabilités. Si ce n’était pas moi, d’autres, des « chapeaux noirs » ou quelqu’un d’autre auraient pu faire ça », a-t-il écrit.
L’un des utilisateurs, attirant l’attention sur la correspondance entre le hacker et l’équipe Prisma, s’est demandé : pourquoi la communauté ne discute-t-elle pas des problèmes soulevés ?
Développement intéressant dans les événements Prisma :
A/ Le code concerné n’a pas été audité
B/ Le hacker a des demandes dont une partie a été satisfaite
C/ Le hacker a une mission/motivationA/ Pourquoi auditer une fonction de migration ?
1. L’exploit concernait une fonction de migration qui ne faisait pas partie du… pic.twitter.com/a58Zik44Nz
– tokenbrice.eth (🐜,🐔) (@TokenBrice) 31 mars 2024
Selon le développeur sous le pseudo Tokenbrice, le hacker a raisonnablement attiré l’attention sur certains aspects :
- l’équipe Prisma a commencé de manière indépendante à migrer les positions des utilisateurs vers Trove, ce qui n’était pas inclus dans les plans de déploiement initiaux du protocole ;
- les développeurs expérimentés n’ont pas soumis une partie du code de mise à jour pour audit, qui, en règle générale, est utilisé pour dégager la responsabilité (pour la plupart) ;
- ils ont ignoré les demandes de Deanon auprès du pirate informatique, ainsi que ses autres questions.
« Il semble intéressé à étendre la responsabilité des développeurs DeFi : un héros que nous ne méritons pas ? » a suggéré l’expert.
Rappelons que les spécialistes de PeckShield ont découvert que le pirate informatique Prisma avait commencé à envoyer des actifs au cryptomixer Tornado Cash, malgré la déclaration sur la possibilité de retour.
Vous avez trouvé une erreur dans le texte ? Sélectionnez-le et appuyez sur CTRL+ENTRÉE
Newsletters ForkLog : restez à l’écoute de l’industrie Bitcoin !
Voir l’article original en russe
