Le 16 mai à 15 h 21, l’écosystème Pump.fun de la plateforme de création de monnaie mème de Solana a été exploité. L'incident a entraîné la perte d'environ 12 300 SOL, d'une valeur de près de 2 millions de dollars aux prix actuels du marché.
Les attaquants ont exploité la plateforme de manipulation de prêts flash de Margin.fi pour obtenir du SOL et acheter des jetons Pump.fun sans utiliser leurs propres fonds. Ce dernier exploit a envoyé une onde de choc dans la communauté des cryptomonnaies.
Trouver l'attaquant de l'intérieur : faille de sécurité de Pump.fun
L'attaquant, initialement identifié par l'adresse du portefeuille 7ihN8QaTfNoDTRTQGULCzbUT3PHwPDTu5Brcu4iT2paP, a exploité Pump.fun en achetant tous les tokens des nouveaux projets lancés sur la plateforme en quelques minutes. Cette action a poussé la courbe de liaison jusqu’à ses limites.
Dans le monde de la finance décentralisée (DeFi), une courbe de liaison est un contrat intelligent qui crée un marché de jetons sans recourir à un échange de crypto-monnaie. Ainsi, comme prévu, cette manipulation a empêché le token d’être coté sur l’échange décentralisé de Solana, Raydium DEX.
En réponse à l'attaque, Pump.fun a amélioré son contrat pour éviter une nouvelle détérioration. De plus, l’équipe a suspendu les échanges et assuré aux utilisateurs que la valeur totale verrouillée (TVL) du protocole est sécurisée.
"Nous nous engageons à assurer la sécurité de nos utilisateurs et travaillons avec les parties concernées, y compris les forces de l'ordre, pour minimiser les dommages", a déclaré l'équipe.
Fait intéressant, l’attaquant est Jarrett, un ancien employé de Pump.fun qui porte le pseudonyme de STACCOverflow. Jarrett s'est adressé aux réseaux sociaux pour exprimer son mécontentement à l'égard de l'entreprise et a déclaré qu'il avait l'intention de perturber la plateforme.
"Le genre de patron effrayant qui vous voit vous casser la main et vous demande ce qui s'est passé et vous dit que vous avez trébuché sur une table en verre vous dira 'Est-ce que cette table va bien ?'", a écrit Jarrett après l'attaque. "
Il a précisé qu'il avait un plan pour "changer le cours de l'histoire". De plus, il a déclaré qu’il ne craignait pas d’aller en prison.
Dans un autre article, Jarrett a également déclaré qu'il distribuerait son butin via des parachutages entre diverses communautés, notamment Slerf, Stacc, Saga et Risklol. Certains membres de la communauté cryptographique l'ont surnommé « Web3 Robinhood » en raison de sa décision d'effectuer un largage aérien.
Environ cinq heures après l'annonce initiale, Pump.fun a publié un post-mortem. Ils ont redéployé le contrat et repris les échanges avec des frais de 0 % pour les 7 prochains jours. Ils travaillent également à l'établissement d'un pool de liquidité (LP) pour les jetons concernés afin de restaurer la fonctionnalité de trading.
« Les jetons qui ont atteint 100 % entre 15h21 et 17h00 sont dans les limbes, ce qui signifie que personne ne peut les échanger jusqu'à ce que LP soit déployé pour eux sur Raydium. Pour garder les utilisateurs intacts, l'équipe Pump.fun ajoutera du LP dans les 24 prochaines heures. heures pour chaque jeton concerné avec un montant de liquidité SOL égal ou supérieur à la liquidité de ce jeton à 15h21 UTC.