Yuga Labs a récupéré 68 NFT d'une valeur de plus de 500 000 $ lors d'une opération d'urgence de type chapeau blanc, sécurisant les actifs exposés par un exploit du protocole Flooring avant que les attaquants ne puissent les drainer.
Le butin récupéré comprend 29 singes ennuyés, deux CryptoPunks et quatre singes mutants, désormais détenus sous la garde de Yuga pour être restitués à leurs propriétaires une fois le protocole fixé.
Comment l’exploit s’est déroulé
Flooring Protocol est une plateforme de liquidité NFT. Les utilisateurs verrouillent les NFT et reçoivent des fpTokens fongibles liés un à un à ces dépôts.
L’attaquant a commencé avec une petite quantité de Wrapped Ether (WETH). Ils ont ensuite abusé d'une faille dans la logique comptable du protocole pour créer un solde fpToken presque infini.
Selon 0xQuit, vice-président de la blockchain de Yuga, un identifiant de jeton conçu de manière malveillante a créé ce qu'il a appelé un état de propriété fantôme. Les contrôles de propriété ont été effectués sous une lecture tandis que la comptabilité interne a divergé sous une autre.
Suivez-nous sur X pour recevoir les dernières nouvelles au fur et à mesure
Deux débordements incontrôlés ont suivi, enveloppant l'équilibre de l'attaquant à un chiffre énorme. Ils ont fait baisser les prix des fpToken vers zéro et vidé les pools concernés.
Pourquoi Yuga est intervenu
Les chercheurs ont ensuite découvert une deuxième voie d’attaque qui a exposé des pools de plus grande valeur, y compris des collections NFT de premier ordre. Ces actifs n’ont échappé à la première vague que parce que leurs pools contenaient peu de liquidités.
Les enjeux résidaient dans ces lignes phares. Les planchers de Bored Ape s'élevaient à près de 8,95 ETH, soit environ 15 121 $, tandis que les CryptoPunks détenaient au-dessus de 32 ETH, soit environ 55 248 $, selon les données de CoinGecko du 8 juin.
À ces niveaux, les 29 Bored Apes valaient à eux seuls environ 441 000 $, soit la plus grosse ligne du transport.
Ce calcul correspond au chiffre de plus de 500 000 $ pour les 68 NFT cités par 0xQuit. L'exploit a également eu lieu ce week-end, alors que moins d'équipes surveillaient l'activité en chaîne.
Flooring Protocol est entré en mode extinction l'année dernière et sa division NFT est restée en grande partie non gérée. L’architecte d’origine est resté fournisseur de liquidités et a perdu ses propres actifs lors de l’attaque.
Le PDG Michael Figge a déclaré qu'il avait demandé au bureau GrailsOTC de fournir de l'argent et des NFT pour le sauvetage. L’équipe a ensuite déployé un contrat qui utilisait la même classe de bogues de manière défensive, faisant écho aux efforts antérieurs de récupération de chapeau blanc dans DeFi.
Yuga, qui a également acquis la collection CryptoPunks, a qualifié cette décision de temporaire. L'architecte, publiant sous le nom 0xFreeLunch, a assumé ses responsabilités et a blâmé le code optimisé pour le gaz qui cachait le bug aux auditeurs.
Que se passe-t-il ensuite
L'architecte soupçonne également l'attaquant d'avoir utilisé des outils d'IA avancés, compte tenu de la complexité de l'exploit. Pendant ce temps, Quit a exhorté les détenteurs à rester à l’écart de la plate-forme.
« Il est important de NE PAS déposer d'autres NFT dans Flooring Protocol, car ceux-ci pourraient devenir immédiatement vulnérables », a déclaré Quit.
Les exploiteurs détiennent toujours d’autres NFT volés, l’affaire n’est donc pas close. Comme d'autres projets DeFi après des exploits, Flooring est désormais confronté à d'éventuelles relances de contrat et à des décisions sur l'indemnisation des détenteurs concernés.
Le message Plus de 500 000 $ de NFT sauvés lors de l'opération White-Hat menée par Yuga est apparu en premier sur BeInCrypto.