L’ancienne version n’a pas été mise hors service : c’est comme si la porte n’avait jamais été verrouillée. Cette fois, On Nexus a perdu 8,5 BTC
Le 25 octobre, DotSwap V1, l’ancienne plateforme du protocole de liquidité natif de Bitcoin On Nexus, a été compromise. Le 27 octobre, l’équipe a publié un avis de sécurité. En exploitant un mécanisme de signature côté serveur laissé en place sur V1, l’attaquant a retiré environ 8,5 BTC des pools de liquidité de V1 et des comptes associés en quelque quatre heures, soit environ 685 000 dollars au cours du moment. Les articles de PANews, KuCoin Flash et Odaily concordent sur les montants et la durée.
V1 était l’ancienne plateforme de trading lancée en 2024. Le projet était depuis passé à la nouvelle architecture Nexus, et V1 figurait déjà dans le plan de mise hors service. Le problème, c’est qu’une mise hors service prévue n’est qu’un projet : les services continuaient de fonctionner et les autorisations de signature étaient toujours actives. L’attaquant a fabriqué des données de signature illicites et contourné les contrôles habituels de la plateforme pour retirer des fonds du pool. Selon le compte rendu par Odaily de la surveillance officielle, l’attaque a utilisé des scripts automatisés : elle a d’abord sondé les interfaces, puis effectué des retraits progressifs, impliquant 99 tokens Runes. L’équipe a également indiqué que la méthode ressemblait à une tendance récente d’attaques automatisées. C’est son analyse, qui n’est pas encore étayée par des preuves indépendantes ; je la rapporte donc comme un simple point de vue.
L’équipe a clairement expliqué qui avait subi des pertes et qui n’en avait pas subi. Les pools de liquidité de V1 utilisaient un système de multisignature avec conservation des fonds : l’argent était d’abord regroupé dans un coffre multisignature contrôlé par la plateforme. Tous les dépôts encore dans les pools de V1 ont donc été touchés, et les pertes sont celles des fournisseurs de liquidité qui n’avaient pas migré leurs fonds à temps. Les portefeuilles en auto-garde des utilisateurs ordinaires n’ont pas été affectés, car les transactions quotidiennes passaient par le système de trading natif de Bitcoin en auto-garde ; les clés privées n’avaient jamais été stockées sur les serveurs de la plateforme. Même incident, deux types de portefeuilles, des conséquences complètement différentes : la frontière, c’est de savoir qui détenait réellement les fonds.
Après l’incident, V1 a été entièrement mis hors service et l’interface réseau de l’ancien service de signature a été désactivée. Les canaux de trading de la nouvelle architecture Nexus n’ont pas été touchés. L’équipe a indiqué qu’elle traçait les fonds avec SlowMist et transmettait aux principales plateformes de trading les adresses liées au pirate. L’analyse complète de l’incident et le plan d’intervention sont encore en cours d’élaboration. Au moment où j’écris, rien n’a été rendu public ; ne présentons donc pas le plan d’intervention comme s’il était déjà arrêté.
Pour les particuliers, la leçon est très concrète. Le lancement d’une nouvelle version d’un projet ne signifie pas que l’ancienne est automatiquement sûre. Tant que de vrais fonds restent dans les anciens contrats et que les anciennes interfaces disposent toujours des droits de signature, l’attaquant n’a pas besoin de compromettre le nouveau système : il lui suffit de trouver la porte la plus ancienne. Plus inquiétant encore, beaucoup de gens ignorent qu’ils n’ont pas migré leurs fonds. Quand l’avis est publié et qu’ils vont vérifier, le pool est peut-être déjà vide.
Mon avis est simple. À l’avenir, quand un projet annonce avoir migré, vérifiez d’abord deux choses : premièrement, si la mise hors service officielle de l’ancienne version a été annoncée ; deuxièmement, si vous avez encore des fonds sur cette ancienne version. En l’absence d’annonce officielle de sa mise hors service, ne laissez pas vos fonds là. Même si vous avez déjà migré, ne vous contentez pas de constater que la nouvelle version fonctionne bien : tant que l’annonce de mise hors service de l’ancienne version n’est pas publiée, l’affaire n’est pas réglée.
Avez-vous déjà laissé des fonds dans une ancienne version sans les migrer ? Quand avez-vous vérifié pour la dernière fois qu’elle avait été mise hors service ?
#BTC #比特币生态 #安全复盘 #DotSwap #SécuritéDeFi
—— Web3 Leek Xiaokai
Ce contenu rassemble uniquement des informations publiques et ne constitue pas un conseil en investissement. Les montants mentionnés se fondent sur l’avis officiel d’On Nexus et les articles publics de PANews, KuCoin Flash et Odaily. Pour toute information ultérieure du projet, référez-vous aux canaux officiels.
Le 25 octobre, DotSwap V1, l’ancienne plateforme du protocole de liquidité natif de Bitcoin On Nexus, a été compromise. Le 27 octobre, l’équipe a publié un avis de sécurité. En exploitant un mécanisme de signature côté serveur laissé en place sur V1, l’attaquant a retiré environ 8,5 BTC des pools de liquidité de V1 et des comptes associés en quelque quatre heures, soit environ 685 000 dollars au cours du moment. Les articles de PANews, KuCoin Flash et Odaily concordent sur les montants et la durée.
V1 était l’ancienne plateforme de trading lancée en 2024. Le projet était depuis passé à la nouvelle architecture Nexus, et V1 figurait déjà dans le plan de mise hors service. Le problème, c’est qu’une mise hors service prévue n’est qu’un projet : les services continuaient de fonctionner et les autorisations de signature étaient toujours actives. L’attaquant a fabriqué des données de signature illicites et contourné les contrôles habituels de la plateforme pour retirer des fonds du pool. Selon le compte rendu par Odaily de la surveillance officielle, l’attaque a utilisé des scripts automatisés : elle a d’abord sondé les interfaces, puis effectué des retraits progressifs, impliquant 99 tokens Runes. L’équipe a également indiqué que la méthode ressemblait à une tendance récente d’attaques automatisées. C’est son analyse, qui n’est pas encore étayée par des preuves indépendantes ; je la rapporte donc comme un simple point de vue.
L’équipe a clairement expliqué qui avait subi des pertes et qui n’en avait pas subi. Les pools de liquidité de V1 utilisaient un système de multisignature avec conservation des fonds : l’argent était d’abord regroupé dans un coffre multisignature contrôlé par la plateforme. Tous les dépôts encore dans les pools de V1 ont donc été touchés, et les pertes sont celles des fournisseurs de liquidité qui n’avaient pas migré leurs fonds à temps. Les portefeuilles en auto-garde des utilisateurs ordinaires n’ont pas été affectés, car les transactions quotidiennes passaient par le système de trading natif de Bitcoin en auto-garde ; les clés privées n’avaient jamais été stockées sur les serveurs de la plateforme. Même incident, deux types de portefeuilles, des conséquences complètement différentes : la frontière, c’est de savoir qui détenait réellement les fonds.
Après l’incident, V1 a été entièrement mis hors service et l’interface réseau de l’ancien service de signature a été désactivée. Les canaux de trading de la nouvelle architecture Nexus n’ont pas été touchés. L’équipe a indiqué qu’elle traçait les fonds avec SlowMist et transmettait aux principales plateformes de trading les adresses liées au pirate. L’analyse complète de l’incident et le plan d’intervention sont encore en cours d’élaboration. Au moment où j’écris, rien n’a été rendu public ; ne présentons donc pas le plan d’intervention comme s’il était déjà arrêté.
Pour les particuliers, la leçon est très concrète. Le lancement d’une nouvelle version d’un projet ne signifie pas que l’ancienne est automatiquement sûre. Tant que de vrais fonds restent dans les anciens contrats et que les anciennes interfaces disposent toujours des droits de signature, l’attaquant n’a pas besoin de compromettre le nouveau système : il lui suffit de trouver la porte la plus ancienne. Plus inquiétant encore, beaucoup de gens ignorent qu’ils n’ont pas migré leurs fonds. Quand l’avis est publié et qu’ils vont vérifier, le pool est peut-être déjà vide.
Mon avis est simple. À l’avenir, quand un projet annonce avoir migré, vérifiez d’abord deux choses : premièrement, si la mise hors service officielle de l’ancienne version a été annoncée ; deuxièmement, si vous avez encore des fonds sur cette ancienne version. En l’absence d’annonce officielle de sa mise hors service, ne laissez pas vos fonds là. Même si vous avez déjà migré, ne vous contentez pas de constater que la nouvelle version fonctionne bien : tant que l’annonce de mise hors service de l’ancienne version n’est pas publiée, l’affaire n’est pas réglée.
Avez-vous déjà laissé des fonds dans une ancienne version sans les migrer ? Quand avez-vous vérifié pour la dernière fois qu’elle avait été mise hors service ?
#BTC #比特币生态 #安全复盘 #DotSwap #SécuritéDeFi
—— Web3 Leek Xiaokai
Ce contenu rassemble uniquement des informations publiques et ne constitue pas un conseil en investissement. Les montants mentionnés se fondent sur l’avis officiel d’On Nexus et les articles publics de PANews, KuCoin Flash et Odaily. Pour toute information ultérieure du projet, référez-vous aux canaux officiels.
