Socket, un protocole dans le espace de finance décentralisée (DeFi), a récemment été confronté à un incident de sécurité qui a entraîné une perte d’environ 3,3 millions de dollars.
La vulnérabilité provenait d’une attaque par injection d’appel sur le protocole Socket, affectant spécifiquement les portefeuilles avec des approbations infinies pour les contrats Socket. En réponse, tous les contrats concernés ont été rapidement mis en pause afin d’atténuer les dommages supplémentaires.
L’attaque a exploité un appel dangereux au sein de la fonction performAction, principalement en raison de l’oubli de scénarios dans lesquels l’appelant transfère 0 Wrapped Ether (WETH). Cet oubli a permis à l’attaquant de spécifier des fonctions alternatives dans l’appel tout en réussissant la vérification du solde.
L’attaquant a stratégiquement conçu les données d’appel pour invoquer la fonction de transfert de jetons arbitraires, siphonnant ainsi les jetons précédemment approuvés pour le contrat par d’autres utilisateurs vers l’adresse de l’attaquant.
3,3 millions de dollars de fonds volés enregistrés
Protocole de socket @SocketDotTech a été victime d’une attaque par injection d’appels avec une perte d’environ 3,3 millions de dollars.
Cette attaque était principalement due à un appel non sécurisé dans la fonction performAction. Il n’a pas pris en compte le cas où l’appelant transfère en 0 WETH, permettant à l’appelant de spécifier d’autres fonctions… https://t.co/l6024hFrqi pic.twitter.com/E8p5bGpOnb
– Alerte Beosin (@BeosinAlert) 17 janvier 2024
Les fonds volés, s’élevant à environ 3,3 millions de dollars répartis sur six actifs, comprennent :
– 2,57 millions USDC
– 347 000 USDT
– 165 000 MATIC
– 13 800 DAI
– 42 WETH
– 2,8 WBTC
Environ 3,3 millions de dollars en 6 actifs ont été volés à des utilisateurs avec des approbations infinies de jetons pour un pont inter-chaînes @SocketDotTech contrats il y a environ 8 heures, notamment :
• 2,57 millions $USDC
• 347 Ko $USDT
• 165 000 $ $MATIC
• 13,8K $DAI
• 42 $WETH
• 2,8 $WBTCJusqu’à présent, l’exploiteur a échangé les 2,92 millions… https://t.co/rA7VXvSfcK pic.twitter.com/D9Qc20qF9I
– Spot sur la chaîne (@spotonchain) 17 janvier 2024
Dans le cadre de sa stratégie, l’exploiteur a rapidement converti les pièces stables volées, totalisant 2,92 millions, en 1 139 Ether à un prix moyen de 2 564 $. Les fonds convertis sont actuellement détenus à l’adresse du portefeuille 0x50DF5a2217588772471B84aDBbe4194A2Ed39066.
Cet incident souligne les défis persistants auxquels sont confrontés les protocoles DeFi pour maintenir des mesures de sécurité robustes. L’action rapide de Socket pour mettre fin aux contrats concernés démontre son engagement à protéger les actifs des utilisateurs et à atténuer les risques potentiels au sein de l’écosystème DeFi.
Divulgation : Il ne s’agit pas de conseils en matière de trading ou d’investissement. Faites toujours vos recherches avant d’acheter une crypto-monnaie ou d’investir dans un service.
Suivez-nous sur Twitter @nulltxnews pour rester à jour avec les dernières nouvelles sur la cryptographie, le NFT, l’IA, la cybersécurité, l’informatique distribuée et le métaverse !
Source de l’image : ismagilov/123RF// Effets d’image par Colorcinch
Voir l’article original en anglais
