Le dernier piratage, qui a coûté 197 millions de dollars à la plate-forme DeFi Euler Finance, était le plus important de l’industrie de la cryptographie jusqu’à présent cette année. Les pirates restent inconnus mais ont commencé à rendre l’argent.
Le samedi 18 mars, les pirates ont envoyé environ 3 000 éthers (environ 5,4 millions de dollars) à l’adresse du portefeuille d’Euler Finance, écrit CoinTelegraph. L’analyste de la blockchain PeckShield a rapporté que les pièces avaient été envoyées en trois transactions de 1 000 éther chacune.
Il est peu probable que les pirates retournent le montant total
Les chances que les pirates retournent la totalité du montant sont très minces. Au moment de la publication, aucune autre transaction n’avait eu lieu.
Le 16 mars, la plateforme de prêt a offert une récompense de 1 million de dollars pour des informations qui aideraient à retrouver les pirates ou l’argent volé. Les pièces ont été blanchies via le mélangeur crypto Tornado Cash peu de temps après l’annonce de la récompense.
Attaque de crédit flash sophistiquée
Le 13 mars, les pirates ont mené une attaque sophistiquée via les prêts Flash d’Euler. Michael Bentley, PDG d’Euler Labs, a décrit les jours qui ont suivi l’attaque comme « les plus difficiles » de sa vie dans une série de tweets le 17 mars.
Le protocole de crédit a été exploité via une vulnérabilité. Les pirates n’ont effectué que quatre transactions, en utilisant inUSD Coin, le stablecoin DAI, Wrapped Bitcoin (wBTC) et l’Ether jalonné (sETH).
Les attaquants ont trompé la plate-forme DeFi en détenant très peu d’eToken, le jeton de sécurité d’Euler, et plus de dToken, le jeton de dette d’Euler. Euler émet des dTokens pour déclencher une liquidation sur la blockchain lorsque la plateforme détient plus de dTokens que d’eTokens.
La plateforme a été piratée malgré 10 audits en 2 ans
Avant de perdre 196 millions de dollars dans l’attaque, plusieurs auditeurs ont classé Euler Finance comme « à faible risque ». Le protocole de crédit a fait l’objet de dix examens différents par six sociétés indépendantes sur une période de deux ans.
Il a été déterminé qu’il n’y avait « pas de questions sans réponse ». Un utilisateur a même tweeté qu’il avait « toujours été une plate-forme soucieuse de la sécurité ».