Plus de 80 portefeuilles vidés en moins de deux heures sur Ethereum

Un exploit a drainé environ 3 millions de dollars de 86 portefeuilles de crypto-monnaie en deux heures environ, a détecté la société de sécurité Blockaid le 25 mai. Au moment où la vulnérabilité a été détectée, les chercheurs de la société ont assuré qu'elle était toujours active.

Les portefeuilles concernés Ils opéraient sur les réseaux Ethereum et Baseet tous disposaient d'un module d'intégration Squid Router activé, un outil qui vous permet d'exécuter des échanges de jetons entre différents réseaux directement depuis le portefeuille.

L'attaquant n'avait pas besoin des clés privées de ses victimes. Au lieu de cela, selon Blockaid, il a exploité une vulnérabilité de ce module externe pour usurper l'identité d'un opérateur autorisé dans chaque portefeuille et exécutez des transactions comme si vous aviez une autorisation légitime pour le faire.

Comment s'est déroulée la vidange ?

Selon ce qui a été expliqué par l'équipe Blockaid, les portefeuilles concernés proviendraient de la société Gnosis Safe, des portefeuilles conçus pour nécessiter plusieurs signatures avant de déplacer des fonds, largement utilisés par les projets et les institutions de finance décentralisée (DeFi) pour gérer leurs trésoreries d'actifs numériques. Ce type de portefeuille permet ajoutez des modules externes qui étendent vos fonctions; l'un de ces modules est le Squid Router.

Selon Blockaid, la vulnérabilité suspectée réside dans la fonction que ce module utilise pour exécuter des échanges au sein du même réseau. L'attaquant aurait déployé ses propres contrats exploitant cette vulnérabilité pour commander des échanges depuis chaque portefeuille concerné.

Les vrais tokens des victimes étaient échangés contre un token sans valeur réelle créé par l'attaquant lui-même, via des pools de liquidités qu'il avait préalablement mis en place sur Uniswap V3 (un des principaux protocoles d'échanges décentralisés d'Ethereum). Une fois le vidage terminé, il a retiré ces fonds de liquidité et a converti tout ce qu'il avait obtenu en 3,07 millions de DAI, une monnaie stable liée à la valeur du dollar américain.

Rahul Rumalla, PDG de Safe, a précisé dans X que Les portefeuilles concernés ne fonctionnaient pas sur le produit officiel Safe Wallet. « Je ne sais pas exactement où ces comptes ont été créés et gérés », a-t-il écrit.

Rumalla a ajouté que le module Squid Router impliqué avait déjà été signalé comme malveillant par Blockaid au sein du système d’alerte Safe Shield, qui identifie les modules et extensions tiers non officiels comme facteurs de risque. «Dans Safe Wallet, ces risques sont signalés via Safe Shield. Les modules et gardes non officiels et tiers sont identifiés comme des risques », a-t-il indiqué.

Le rapport de Blockaid ne confirme pas si l'exploit a été stoppé ou si le vecteur était toujours actif au moment de sa publication. Il n’y a également aucune déclaration de Squid Router corroborant la vulnérabilité ou le montant affecté.

Ainsi, il ressort clairement de l’exploit que l’utilisation d’un portefeuille multi-signatures n’élimine pas complètement le risque de perte de fonds. Lorsque ce portefeuille dispose de modules externes activés (intégrations tierces qui étendent ses fonctions), chacun de ces modules représente une voie d’entrée supplémentaire pour un attaquant.

Dans ce cas, l'exploit ne ciblait pas les clés des propriétaires du portefeuille mais plutôt le module qu'ils avaient installé : une distinction qui change l'endroit où l'attention doit être portée lors de l'évaluation de la sécurité d'un portefeuille.