CrossCurve, un pont inter-chaînes et un protocole de liquidité, a confirmé qu'il y avait eu un piratage majeur au cours duquel environ 3 millions de dollars de crypto-monnaie ont été retirés. La perte s’est produite sur plusieurs réseaux connectés, et non sur une seule chaîne.
L'équipe a annoncé l'incident dans un message sur X et a demandé aux utilisateurs de cesser d'utiliser le protocole pendant l'enquête. Un pool de liquidités clé dans le contrat PortalV2 est tombé d'environ 3 millions de dollars à presque zéro lors de l'attaque.
Les analystes en sécurité ont attribué l'exploit à une vulnérabilité dans un contrat appelé ReceiverAxelar. Ce contrat est destiné à vérifier les messages inter-chaînes avant de libérer des jetons sur la chaîne cible.
La faille du contrat intelligent derrière le hack
Les experts ont constaté que le contrat ReceiverAxelar ne vérifiait pas correctement les messages inter-chaînes entrants. L'attaquant a pu appeler une fonction appelée expressExecute avec de faux messages qui semblaient réels.
Étant donné que les contrôles Gateway étaient manquants ou faibles, le contrat a accepté les fausses nouvelles et a déclenché le contrat PortalV2 pour libérer des jetons. Ces jetons n'ont jamais été réellement verrouillés sur la chaîne source, de sorte que le protocole a effectivement payé les actifs non garantis.
La société de sécurité Blockchain BlockSec a décrit le problème comme un « manque de validation » sur le chemin inter-chaînes. La société a averti que les systèmes inter-chaînes sont encore trop dépendants d’une seule voie de validation, qui peut s’effondrer si une vérification échoue.
L'ultimatum et la prime de 72 heures de CrossCurve
Peu de temps après le piratage, Boris Povar, PDG de CrossCurve, a déclaré que l'équipe avait identifié dix adresses Ethereum qui avaient reçu les fonds mal dirigés. Il a souligné que les jetons ont été volés par les utilisateurs en raison de l'erreur et non par le biais d'un transfert normal.
Le projet a publié ces adresses et a demandé aux propriétaires leur aide pour restituer les actifs. CrossCurve a déclaré qu'il n'avait pas encore identifié d'intentions malveillantes claires de la part de certains destinataires et les traitait comme d'éventuels chapeaux blancs.
Pour encourager les remboursements, CrossCurve a offert une récompense allant jusqu'à 10 % des fonds récupérés à ceux qui rendaient les jetons dans les 72 heures. Les 90 pour cent restants doivent être envoyés à une adresse de remboursement spécifique annoncée publiquement par le projet.
S’il n’y a pas de réponse ou de remboursement dans les 72 heures suivant l’atteinte d’une certaine hauteur de bloc Ethereum, CrossCurve prévoit de prendre des mesures supplémentaires. Les alternatives incluent des poursuites pénales, des poursuites civiles, une collaboration avec des bourses et des émetteurs de pièces stables pour geler les fonds et la publication d'informations complètes sur le portefeuille avec l'aide de sociétés d'analyse telles que Chainalysis et TRM Labs.
LIRE LA SUITE : Crypto Crash aujourd’hui : est-il sûr d’acheter alors que l’indice de peur et de cupidité chute ?
Voir l’article original en allemand
