Le protocole d'atterrissage décentralisé de Sonne Finance a été exploité, entraînant des dommages d'environ 20 millions de dollars.
Post-mortem sur l'exploitation des marchés Sonne Finance sur Optimismhttps://t.co/gBXDsl8ucA
– Sonne Finance (@SonneFinance) 15 mai 2024
Selon le communiqué, l'attaquant a utilisé une « attaque de don connue » sur les forks de Compound v2, dont Sonne Finance.
À la suite du piratage, l'équipe du protocole a suspendu son opération sur la solution Optimism L2. Les opérations à la base se poursuivent normalement.
En 2023, Compound a décrit une vulnérabilité qui permet des attaques sur des marchés à faible offre et avec un facteur de collatéralisation (CF) non nul sur la deuxième version de la plateforme.
Selon les experts, afin d’extraire presque entièrement tous les actifs du protocole, un pirate informatique doit répéter systématiquement plusieurs étapes dans tous les cas :
- créer et financer un nouveau contrat ;
- émettre des jetons de garantie sur un marché vide et en racheter la majorité ;
- faites don de ces pièces pour augmenter le taux de change ;
- utiliser ce collatéral surévalué pour emprunter un autre actif ;
- restituer les dons en achetant le titre ;
- liquider le contrat de l'emprunteur à l'aide des fonds empruntés et racheter les jetons de garantie.
Les experts ont qualifié l'installation de Zero CF pour les nouveaux marchés de solution la plus simple pour les projets existants basés sur Compound v2.
L'équipe de Sonne Finance a assuré avoir suivi cette recommandation. Cependant, lorsque le protocole a ajouté la prise en charge du jeton, VELO a prévu que les conditions de crédit (facteurs c) soient remplies dans deux jours.
Selon les développeurs, l'attaquant a attendu le déverrouillage et a effectué quatre transactions pour créer des marchés et une autre pour ajouter des facteurs C.
Sonne Finance a confirmé avoir pris connaissance de l'attaque grâce aux avertissements des membres de la communauté.
Salut @SonneFinance: Veuillez vérifier votre contrat timelock et la perte s'élève désormais à plus de 20 millions de dollars.
– PeckShield Inc. (@peckshield) 15 mai 2024
La réponse immédiate a permis d'éviter le vol d'environ 6,5 millions de dollars supplémentaires d'actifs, a indiqué l'équipe.
Les développeurs ont ajouté qu'ils continuaient à « enquêter sur l'identité du pirate informatique », mais qu'ils étaient prêts à lui offrir une récompense pour la restitution des fonds retirés.
Rappelons qu'en avril, les projets de cryptographie ont perdu un niveau record d'environ 27,5 millions de dollars en raison de la cybercriminalité, dont environ 21 millions de dollars provenaient d'exploits, a calculé CertiK.
Vous avez trouvé une erreur dans le texte ? Sélectionnez-le et appuyez sur CTRL+ENTRÉE
Newsletters ForkLog : restez à l’écoute de l’industrie Bitcoin !