La plateforme DeFi Penpie aurait été victime d'une faille de sécurité de 27 millions de dollars

La plateforme de finance décentralisée (DeFi) Penpie, construite sur le réseau Pendle, aurait subi un exploit majeur le 3 septembre 2024.

Selon le système de surveillance en chaîne en temps réel Cyvers Alert, le piratage a entraîné la perte d'au moins 26 millions de dollars en divers actifs cryptographiques enveloppés et synthétiques.

Les détails de l'attaque émergent

La société de surveillance de sécurité a déclaré que l'attaque contre Penpie avait été initiée par un contrat intelligent qui avait été initialement financé à hauteur de 10 éther (ETH) via Tornado Cash.

Le protocole concerné a par la suite reconnu la faille, affirmant qu’il s’agissait d’une « compromission de sécurité ». L’équipe à l’origine du projet a également informé les utilisateurs que toutes les transactions avaient été interrompues et qu’elle travaillait à résoudre le problème.

Pendle, sur lequel opère la plateforme vidée, s'est également exprimé sur les réseaux sociaux, affirmant avoir identifié l'attaque. Il a également assuré aux utilisateurs qu'après avoir mené des « enquêtes approfondies », il avait conclu que ses propres fonds étaient en sécurité. Cependant, par mesure de précaution, le réseau a également suspendu tous les contrats et a proposé son aide à l'équipe de Penpie pour l'aider à résoudre l'incident.

Mesures défensives et autopsie

La plateforme a ensuite publié un premier rapport d'autopsie, détaillant la chronologie des événements survenus avant, pendant et après l'incident.

Dans le rapport, l'équipe Pendle a révélé que son système avait signalé le contrat suspecté d'être à l'origine du vol immédiatement après son déploiement, car il avait été financé par Tornado Cash.

Ils se sont immédiatement mis en état d'alerte maximale, scrutant la menace potentielle que représentait le contrat pour la sécurité du réseau. C'est à ce moment-là que l'exploit Penpie s'est produit, ce qui a poussé l'équipe Pendle à lancer des mesures défensives pour protéger le réseau et son écosystème plus large contre toute attaque ultérieure.

Le protocole a également fait appel à d'autres organismes de cybersécurité, dont Seal 911, pour élaborer des stratégies visant à atténuer les risques supplémentaires. Cependant, après des vérifications supplémentaires, Pendle a réactivé ses contrats à 00h50 UTC et a repris ses opérations normales.

De son côté, Penpie a contacté le pirate informatique inconnu et a plaidé pour une « résolution positive » de l’incident.

Dans son offre, le projet DeFi a indiqué sa volonté de négocier une prime avec l'auteur du délit qui permettrait de restituer en toute sécurité les fonds volés. En outre, il s'est engagé à ne prendre aucune mesure juridique contre l'exploitant s'il acceptait l'offre qui le verrait assumer un rôle de white hat. Il lui a également assuré que son identité ne serait pas révélée.

Cependant, au moment de la mise sous presse, il n'était pas clair si l'attaquant avait accepté l'offre de Penpie ou s'il avait contacté l'équipe du protocole d'une quelconque manière. En attendant, ses opérations restent suspendues et l'équipe travaille à rétablir son interface pour garantir que les utilisateurs puissent accéder à leurs fonds.