Le protocole de finance décentralisée (DeFi) Penpie a récemment été victime d'un exploit qui a volé des millions de dollars de plusieurs actifs cryptographiques. Pendle, le protocole sur lequel Penpie est basé, a abordé l'incident dans un post post-mortem, révélant avoir empêché des pertes supplémentaires d'une valeur de plus de 100 millions de dollars de fonds des utilisateurs.
Un pirate informatique détourne des millions du protocole DeFi
Mardi, le projet DeFi Penpie, un optimiseur de rendement indépendant basé sur Pendle, a vu plus de 20 millions de dollars de fonds drainés du protocole. Selon les rapports, l'acteur malveillant a exploité une vulnérabilité dans son mécanisme de distribution de récompenses et a volé plusieurs actifs cryptographiques, dont l'Ethena Staked USDe (sUSDe), l'USDC enveloppé et l'Ether jalonné (ETH).
Selon la société de sécurité PeckShield, l'exploiteur a utilisé un contrat de « marché maléfique » qui a gonflé le solde de jalonnement pour réclamer des récompenses injustifiées. Pendle a confirmé que la vulnérabilité était liée à une fonctionnalité exclusive à Penpie qui permettait « une liste sans autorisation des marchés Pendle sur Penpie ».
Attacker uses "evil market" to exploit Penpie's vulnerability. Source: PeckShield on X
Le vol de cryptomonnaies a permis de récupérer 7,87 millions de dollars en wstETH, 2,51 millions de dollars en sUSDe, 3,4 millions de dollars en agETH, 2,22 millions de dollars en rswETH et quatre autres jetons Yield liés à Pendle. Après l'exploit, le pirate a échangé les actifs cryptographiques contre 11 113 ETH en utilisant le protocole Li.fi.
Les fonds volés, d'une valeur de 27,3 millions de dollars, ont ensuite été transférés vers le mixeur de crypto-monnaies Tornado Cash. Selon le rapport, l'exploitant a envoyé plus de 3 000 ETH, soit environ 7,2 millions de dollars, au mixeur mercredi matin.
L'équipe Penpie a envoyé un message à l'attaquant, lui demandant de résoudre l'incident « à l'amiable ». Le protocole a reconnu la vulnérabilité du projet et le rôle de l'exploit dans sa mise en avant, en proposant une prime white hat pour le retour en toute sécurité des fonds.
De plus, ils ont offert à l'attaquant la possibilité de « passer à un rôle de white hat, où vos compétences seront reconnues et récompensées ». L'équipe a assuré que l'identité du pirate resterait confidentielle et qu'elle n'engagerait aucune action en justice contre lui.
Au moment où nous écrivons ces lignes, il n'y a aucun rapport d'une résolution entre l'exploitant et l'équipe du protocole.
Post-mortem : une réponse rapide permet d'éviter de nouvelles pertes
Mercredi matin, l'équipe de Pendle a partagé une autopsie détaillant l'incident. Dans le post X, le protocole DeFi a expliqué que la réponse efficace du projet a permis d'éviter de nouvelles pertes pour les fonds de Penpie.
Pendle a déclaré que son « système de surveillance interne en temps réel » a immédiatement détecté une activité suspecte, car le contrat a été financé avec 10 ETH de Tornado Cash quelques heures avant le braquage.
Timeline of the attack and Pendle's response. Source: Pendle on X
Au moment de la première attaque, les parties impliquées étaient conscientes du signal d'alarme et se sont rapidement mobilisées pour protéger l'écosystème du projet contre les attaques ultérieures. Vingt minutes après l'exploit, l'équipe a suspendu tous les contrats sur Pendle, ce qui a apparemment permis d'éviter davantage de pertes et de protéger 105 millions de dollars d'actifs cryptographiques de Penpie.
Le protocole DeFi a également contacté d'autres projets basés sur Pendle, comme Equilibria et StakeDAO, pour vérifier s'ils étaient attaqués et évaluer la situation. Après enquête, l'équipe a déterminé que le Pencosystem était sûr et que l'attaque était propre à Penpie avant de reprendre ses opérations :
Une faille de sécurité visant Penpie a entraîné une perte de fonds. En réponse, Pendle a rapidement suspendu nos contrats, protégeant ainsi environ 105 millions de dollars qui auraient pu être encore plus détournés de Penpie. Grâce aux efforts coordonnés de plusieurs parties, d'autres failles ont été atténuées et les contrats de Pendle ont désormais été réactivés. Les opérations normales ont repris.
En fin de compte, l'équipe de Pendle a assuré aux utilisateurs que leurs fonds n'étaient jamais en danger et qu'ils n'étaient pas affectés par l'exploit.
Ethereum (ETH) is trading at $2,472 in the weekly chart. Source: ETHUSDT on TradingView
Image en vedette de Unsplash.com, graphique de TradingView.com