Malgré l'ampleur de la violation, le jeton natif de Verus a montré peu de réaction immédiate suite à l'annonce de l'exploit.
Les pirates auraient détourné 11,58 millions de dollars du pont Verus-Ethereum.
Selon les alertes de diverses plates-formes de sécurité blockchain, l'exploit a touché l'un des contrats de pont inter-chaînes de Verus et vidé les réserves contenant ETH, tBTC et USDC.
Comment l'attaque a fonctionné
Deux des sociétés, CertiK et PeckShield, ont signalé une activité suspecte provenant du contrat de pont à 0x71518580…cd7f63 quelques heures après l'exploit.
Selon leurs publications sur X, les actifs volés totalisaient 1 625 ETH, 103,56 tBTC et 147 000 USDC, l'attaquant échangeant rapidement le tout contre environ 5 402 ETH et plaçant les fonds dans un portefeuille séparé.
Une autre société de sécurité en chaîne, Blockaid, a publié une panne technique peu de temps après, et c'est le récit le plus clair de ce qui n'a pas fonctionné.
Selon eux, le pont a correctement vérifié trois choses : une racine d'état Verus notariée signée par huit des quinze notaires, une preuve Merkle de l'exportation inter-chaîne et une liaison de hachage confirmant l'intégrité des données de transfert. Toutefois, elle n'a pas vérifié si les montants déclarés des exportations de la chaîne d'approvisionnement correspondaient réellement à ce qu'elle était sur le point de payer.
L'attaquant aurait construit une transaction côté Verus pour environ 0,02 VRSC, soit environ 0,01 $ aux prix actuels, qui a commis un hachage keccak d'un blob de paiement tout en répertoriant les totaux vides côté source. Le protocole Verus l'a accepté comme légitime et les notaires ont signé la racine d'état résultante sans problème, car de leur point de vue, tout allait bien.
Vous aimerez peut-être aussi :
Du côté d'Ethereum, l'attaquant a appelé submitImports() avec un blob de transfert sérialisé dont le hachage correspondait à la valeur engagée, de sorte que le pont a vérifié le hachage, décodé le blob et payé 1 625 ETH, 103 tBTC et 147 000 USDC de ses réserves à l'attaquant.
En un mot, cela a coûté à l'attaquant environ 10 $ en frais VRSC pour un retour de 11,58 millions de dollars. Selon le rapport Blockaid, il n'y a eu aucun contournement ECDSA, aucun compromis sur les clés de notaire et aucun bug d'analyseur ou de liaison de hachage.
La vulnérabilité était une validation manquante du montant de la source dans une fonction appelée « checkCCEPalues », qui, selon la société de sécurité, nécessiterait une dizaine de lignes de Solidity pour être corrigée.
Les exploits de ponts sont en hausse
Le mois dernier, selon Certik, le secteur de la cryptographie dans son ensemble a perdu plus de 650 millions de dollars à cause de mauvais acteurs, dont une grande partie provient de seulement deux incidents : une attaque contre KelpDAO qui a conduit au vol de plus de 292 millions de dollars et une autre sur Drift Protocol, qui a perdu plus de 285 millions de dollars.
Les ponts sont également de plus en plus ciblés, l'exploit Verus étant le huitième incident impliquant de telles plates-formes cette année, et selon PeckShield, leurs attaquants ont empoché au moins 328 millions de dollars.
Pendant ce temps, en regardant le marché, VRSC, le jeton natif de Verus, ne semble pas avoir réagi à la nouvelle de l'exploit. Les données de CoinGecko montrent qu'il était en grande partie stable le jour du piratage, ayant à peine bougé dans la fenêtre de 24 heures précédant l'attaque.
Au moment de la rédaction de cet article, il s'échangeait à environ 0,75 $, en baisse de 6 % en 30 jours, alors qu'au cours de la dernière année, il a perdu près de 73 % de sa valeur.
Voir l’article original en anglais
