Après s’être fait voler 660 000 dollars, ce vieux protocole de 2020 a tout simplement « rompu » avec ses utilisateurs !
Commençons par la conclusion : j’ai lu des dizaines de communiqués publiés après des piratages. Certains rejettent la faute sur les autres, d’autres font des promesses en l’air ou font comme si de rien n’était. Un aveu aussi direct que celui d’ACryptoS, c’est une première.
Ce matin, ACryptoS, un ancien protocole DeFi d’agrégation de rendement, a révélé que ses coffres avaient été attaqués : sur 5 chaînes et 77 coffres, les pertes s’élèvent à environ 665 000 dollars (SlowMist donne le montant exact de 665 429 dollars).
La faille en elle-même est d’une simplicité déconcertante : la fonction depositMulti du contrat ne vérifiait pas les données fournies. Il suffisait à l’attaquant de déposer une quantité infime de jetons pour obtenir la quasi-totalité des parts du coffre, puis retirer l’argent des autres. Le protocole a été lancé en 2020, et sa documentation affirme encore aujourd’hui : « Depuis son lancement, aucune faille du code n’a jamais été exploitée. » Six ans d’invincibilité ont pris fin à cause d’une vérification laissée inachevée.
Mais ce qui a vraiment fait parler de l’affaire, c’est la suite donnée par l’équipe : les dépôts sont désactivés, mais les retraits restent possibles ; les fonds volés ont déjà été transférés, et l’équipe a lancé un appel à l’attaquant : rendez l’argent, vous pouvez garder 10 % comme prime, soit environ 66 500 dollars. Puis le communiqué l’énonce sans détour : l’équipe n’a plus les ressources nécessaires pour assurer la maintenance, le projet cesse ses activités et les utilisateurs sont priés de retirer leurs actifs au plus vite.
Ce communiqué est plus franc que mon texto de rupture : « Je n’en peux plus, va-t’en, prends tes affaires et ne te retourne pas. » Pas de « nous faisons tout notre possible pour récupérer les fonds », pas de « donnez-nous encore un peu de temps », ils n’ont même pas pris la peine de faire des promesses en l’air.
Le plus hallucinant, c’est cette commission de 10 % : dans bien des piratages, les équipes bloquent les retraits et utilisent l’argent des nouveaux venus pour combler les pertes. Ici, c’est l’inverse : on ouvre d’abord les vannes pour que les utilisateurs récupèrent leur argent, puis on s’assoit à la table des négociations avec le pirate pour discuter de sa « commission ». Le monde de la DeFi est vraiment surréaliste : parfois, les pirates respectent davantage leurs engagements que les équipes des projets.
665 000 dollars, ce n’est pas une somme énorme, mais c’est un vieux protocole qui a vécu six ans qui disparaît. Ce n’est pas le pirate qui a écrit le mot « fin », mais cette phrase de l’équipe : « Nous n’avons plus de ressources. » Si vous laissez encore dormir votre argent dans différents coffres de rendement, pensez à vérifier vos positions ce soir : certaines portes se ferment sans préavis.
$ETH $BNB
Commençons par la conclusion : j’ai lu des dizaines de communiqués publiés après des piratages. Certains rejettent la faute sur les autres, d’autres font des promesses en l’air ou font comme si de rien n’était. Un aveu aussi direct que celui d’ACryptoS, c’est une première.
Ce matin, ACryptoS, un ancien protocole DeFi d’agrégation de rendement, a révélé que ses coffres avaient été attaqués : sur 5 chaînes et 77 coffres, les pertes s’élèvent à environ 665 000 dollars (SlowMist donne le montant exact de 665 429 dollars).
La faille en elle-même est d’une simplicité déconcertante : la fonction depositMulti du contrat ne vérifiait pas les données fournies. Il suffisait à l’attaquant de déposer une quantité infime de jetons pour obtenir la quasi-totalité des parts du coffre, puis retirer l’argent des autres. Le protocole a été lancé en 2020, et sa documentation affirme encore aujourd’hui : « Depuis son lancement, aucune faille du code n’a jamais été exploitée. » Six ans d’invincibilité ont pris fin à cause d’une vérification laissée inachevée.
Mais ce qui a vraiment fait parler de l’affaire, c’est la suite donnée par l’équipe : les dépôts sont désactivés, mais les retraits restent possibles ; les fonds volés ont déjà été transférés, et l’équipe a lancé un appel à l’attaquant : rendez l’argent, vous pouvez garder 10 % comme prime, soit environ 66 500 dollars. Puis le communiqué l’énonce sans détour : l’équipe n’a plus les ressources nécessaires pour assurer la maintenance, le projet cesse ses activités et les utilisateurs sont priés de retirer leurs actifs au plus vite.
Ce communiqué est plus franc que mon texto de rupture : « Je n’en peux plus, va-t’en, prends tes affaires et ne te retourne pas. » Pas de « nous faisons tout notre possible pour récupérer les fonds », pas de « donnez-nous encore un peu de temps », ils n’ont même pas pris la peine de faire des promesses en l’air.
Le plus hallucinant, c’est cette commission de 10 % : dans bien des piratages, les équipes bloquent les retraits et utilisent l’argent des nouveaux venus pour combler les pertes. Ici, c’est l’inverse : on ouvre d’abord les vannes pour que les utilisateurs récupèrent leur argent, puis on s’assoit à la table des négociations avec le pirate pour discuter de sa « commission ». Le monde de la DeFi est vraiment surréaliste : parfois, les pirates respectent davantage leurs engagements que les équipes des projets.
665 000 dollars, ce n’est pas une somme énorme, mais c’est un vieux protocole qui a vécu six ans qui disparaît. Ce n’est pas le pirate qui a écrit le mot « fin », mais cette phrase de l’équipe : « Nous n’avons plus de ressources. » Si vous laissez encore dormir votre argent dans différents coffres de rendement, pensez à vérifier vos positions ce soir : certaines portes se ferment sans préavis.
$ETH $BNB
