Un nœud malveillant aurait divulgué des clés cryptographiques pour accéder aux coffres THORChain.
RUNE, le jeton natif de THORChain, a chuté de 18 % au cours des dernières 24 heures.
L'équipe du protocole décentralisé de THORChain a indiqué aujourd'hui 16 mai qu'« aucun fonds d'utilisateur n'a été perdu » après le piratage subi hier, au cours duquel la plateforme a subi des sorties de plus de 10 millions de dollars. De plus, ils ont nié l'existence d'un programme de remboursement, parachutages et compensations en cours, et que l'enquête se poursuit en collaboration avec les analystes des groupes THORSec et Outrider Analytics.
THORChain a mis en garde contre la circulation de faux comptes proposant des remboursements, des lancements de jetons gratuits et des programmes de compensation inexistants. « Tout compte prétendant le contraire usurpe l'identité de THORChain ou diffuse de la désinformation », indique le communiqué. recommande de consulter exclusivement les canaux officiels du protocole.
ZachXBT, le chercheur en sécurité en chaîne qui a mis en garde contre l'exploit, a estimé les pertes à plus de 10 millions de dollars, un chiffre que THORChain n’a ni confirmé ni démenti officiellement.
Comment s’est déroulée l’attaque, selon l’enquête préliminaire ?
Selon un premier communiqué, publié le 15 mai, quelques heures après le piratage, l'attaque aurait opéré au niveau interne du protocole selon l'équipe de la plateforme décentralisée. L'exploit a compromis les coffres-forts où THORChain conserve des actifs externes (bitcoin, éther et autres crypto-actifs), contrôlés collectivement par ses nœuds de validation, sans affecter directement les soldes des utilisateurs.
THORChain a identifié, comme théorie principale de l'attaque, une vulnérabilité dans la mise en œuvre du GG20 TSS, un système cryptographique qui permet à plusieurs nœuds de signer conjointement des transactions sans que personne ne possède la clé complète. Dans ce protocole, ce mécanisme autorise les mouvements d'actifs inter-chaînes et lorsque les nœuds atteignent le seuil de signature requis, le coffre-fort exécute la transaction.
Selon le communiqué, la vulnérabilité aurait permis une fuite progressive des éléments clés des nœuds participants. En accumulant suffisamment d'informations divulguées, L'attaquant a reconstruit l'intégralité de la clé privée du coffre-fort et exécuté des transactions sortantes non autorisées.. Du point de vue du protocole, ces transactions étaient cryptographiquement valides (car la clé utilisée pour les signer était correcte), ce qui empêchait les mécanismes de détection automatique de les bloquer.
La déclaration relie l'attaque à un nœud nouvellement incorporé au réseau, identifié par l'adresse thor16ucjv3v695mq283me7esh0wdhajjalengcn84q, via des connexions entre les adresses Ethereum utilisées pour acquérir RUNE (le jeton natif du protocole) et celles qui ont reçu les fonds volés. Au moment de la publication de cet article, le prix de RUNE a chuté de 18 % au cours des dernières 24 heures.
La pause globale prolongée par les nœuds le 15 mai a expiré aux premières heures du 16 mai, selon des messages publiés sur la chaîne officielle Telegram. Cependant, le statut opérationnel de la plateforme n'est pas confirmé: Les communications post-piratage n'ont pas annoncé de réouverture formelle des opérations, bien que l'interface Web de THORChain semble active au moment de la publication. Les échanges et opérations sensibles étaient toujours officiellement arrêtés selon le dernier communiqué disponible.