La folie qui a entouré la DeFi durant le mois d’août 2020 avait donné l’impression que les attaques à répétition s’étaient calmées. La baisse des rendements offerts par ses protocoles semble avoir réveillé les appétits des hackers. Et c’est de nouveau le protocole de prêt bZx qui fait les frais d’une faiblesse de son code.
L’avertissement omniprésent qui tapisse les sites des offres de la DeFi n’est pas une simple formule de politesse. Les risques sont bien réels pour ces protocoles, dont la plupart n’ont pas fait l’objet d’audits. Ajoutez-y la précipitation avec laquelle certains projets sont lancés et le paysage d’un écosystème propice aux hackers est planté.
Pourtant, le protocole bZx avait fait l’objet de ce type de contrôles de sécurité, ce qui lui permettait de se sentir exonéré de cet avertissement. Ce n’est pas la première fois que cette structure est victime d’une attaque : en février 2020, deux exploitations successives par prêt flash lui avaient déjà coûté près d’un million de dollars au total.
8 millions de dollars détournés
Cette fois-ci, le butin ne se compte plus en centaines de milliers, mais en millions de dollars, détournés dans la nuit du 13 au 14 septembre 2020 grâce à un défaut dans le code de ses smart contracts. Et tout le monde se réveille en se demandant comment les deux cabinets d’audit, PeckShield et CertiK, ont pu passer à côté. Ce qui ne pose visiblement pas de cas de conscience aux intéressés.
« Un audit ne peut garantir la détection de tous les problèmes potentiels. », PeckShield Inc
Est-il nécessaire de préciser que Vitalik Buterin avait émis un avertissement très clair sur le sujet de l’utilisation des smart contracts au sein de la DeFi quelques semaines plus tôt…
Le cofondateur du protocole bZx, Kyle Kistner, a déclaré qu’une analyse interne approfondie allait être menée. Mais malgré les avertissements de la communauté, il n’est pas question de suspendre l’activité pour le moment : les cabinets d’audit « ne recommandent pas une telle ligne de conduite », selon lui. Faisons leur confiance !
Une attaque par duplication de jetons
Cette faille a permis une attaque très lucrative reposant sur une duplication des iTokens de bZx : quand émetteur et destinataire d’un transfert étaient identiques, la soustraction n’était pas appliquée et le solde de jetons du hacker gonflait à volonté.
Le butin est impressionnant. Cette attaque aura permis de détourner 219 200 jetons LINK (2,6 millions de dollars), 4503 ETH (1,65 million de dollars), 1 756 351 USDT (1,75 million de dollars), 1 412 048 USDC (1,4 million de dollars) et 667 989 jetons du stableboin DAI (680 000 dollars). Le tout pour un total s’élevant à 8,1 millions de dollars.
Il aura fallu plusieurs heures à l’équipe de bZx pour réagir et interrompre la frappe et la gravure des iTokens, ce qui explique l’ampleur du préjudice. Le protocole a cependant déclaré qu’aucun fonds de ses utilisateurs n’était impliqué, la perte étant couverte par son fonds d’assurance. En remontant l’activité on-chain, l’équipe identifiera l’attaquant, qui restituera l’intégralité des 8,1 millions de dollars dans les jours suivants.
Un bug identifié en externe
Ce bug a été identifié en externe par Marc Thalen, ingénieur en chef chez Bitcoin.com. Ce dernier a réalisé l’opération avec 100 $ sous la forme du stablecoin USDC, ce qui lui a permis de récupérer 200 $. Un processus qu’il explique dans un fil publié sur Twitter.
« À partir de là, j’ai récupéré des jetons iUSDC. Je m’en suis ensuite envoyé en dupliquant pratiquement les fonds. J’ai ensuite créé une réclamation pour 200$ USD. », Marc Thalen
Selon Marc Thalen, la faille menaçait plusieurs dizaines de millions de dollars déposés dans le protocole. Il a donc immédiatement fait part de sa découverte à l’équipe. Mais à ce moment « aucun des fondateurs n’était présent. »
Sa découverte lui rapporte la modique somme de 12 500 $ de prime, très loin du plafond de 350 000 $ affiché par le programme de bZx. Devant la polémique, celle-ci sera relevée à 45 000 $. Comme quoi la communauté crypto est apparemment plus fiable que certaines structures d’audit !
La précédente attaque de ce type avait entraîné une forte baisse de la valeur totale bloquée (TVL) dans le protocole bZx. Difficile de dire, en septembre 2020, si cela va se reproduire. Mais la courbe dessinée sur l’année écoulée n’est pas très enthousiasmante.
La restitution des fonds aura limité les dégâts, mais la suite fut plus brutale. En novembre 2021, un développeur de bZx ouvre un document Word piégé reçu par courriel : ses clés de déploiement sur Polygon et BNB Chain sont dérobées et environ 55 millions de dollars disparaissent des contrats et de portefeuilles d’utilisateurs. Kaspersky attribuera l’opération au groupe nord-coréen BlueNoroff.
Le protocole n’y survivra pas. En mars 2023, un juge fédéral estime, dans l’affaire Sarcuni contre bZx DAO, que la DAO peut être traitée comme une société en nom collectif, exposant personnellement les détenteurs de ses jetons de gouvernance. La CFTC avait déjà infligé, en septembre 2022, 250 000 dollars d’amende à bZeroX et à ses cofondateurs Tom Bean et Kyle Kistner, avant de poursuivre la DAO devenue Ooki. Faute de défense, un jugement par défaut du 8 juin 2023 la condamne à 643 542 dollars et ordonne la fermeture définitive de son site.
-
GUIDESQu'est-ce qu'Anthropic ?
