🔓 « 0 retrait », et pourtant toute la position de staking peut être vidée ?

Le 31 octobre à 09:29 (UTC), les 91 ordres de staking de la plateforme Bitcoin b14g sur la chaîne Core ont été vidés en une seule transaction par un même portefeuille.

📌 Chiffres clés
• L’attaquant a soumis 99 demandes de retrait d’un montant de « 0 »
• Au total, 97,045,563 CORE ont été transférés. Selon l’estimation de Bitquery, ils valaient environ 1,47 million de dollars à ce moment-là
• Cause : le contrat de staking de Core a interprété « retirer 0 » comme « tout retirer », et b14g n’a pas bloqué ce type de demande d’un montant nul
• Le protocole n’a suspendu le contrat qu’environ 66 minutes plus tard
• b14g affirme qu’environ 68 millions de CORE se trouvent toujours sur la chaîne Core et que les plateformes d’échange en ont gelé environ 9 millions (ces données de gel ne peuvent pas être vérifiées uniquement sur la chaîne)

🛡️ Étendue de l’impact
• Core DAO indique que le consensus du réseau Core, les validateurs et les contrats de staking fonctionnent normalement, et que le staking direct n’est pas affecté
• b14g affirme que les BTC mis en staking restent verrouillés sur la chaîne Bitcoin et n’ont pas été affectés
• Bitquery précise également ne pas avoir encore consulté le code source de b14g et ne pas pouvoir identifier la ligne précise à l’origine de l’erreur

📊 À retenir
Le montant n’est pas très élevé, mais la vulnérabilité est élémentaire : une valeur limite, « 0 », a suffi à déclencher le versement intégral. La composabilité de la DeFi signifie qu’une vérification des entrées manquante dans un protocole peut transformer le « comportement par défaut » d’un contrat sous-jacent en vecteur d’attaque. Avant d’utiliser des protocoles de staking ou de restaking, ne vous contentez pas d’examiner les rendements : vérifiez aussi les audits et les mécanismes de suspension.

💬 Un incident de ce type vous ferait-il retirer vos fonds des protocoles de restaking ? Venez en discuter dans les commentaires.

👉 Trader du BTC : https://www.binance.com/zh-CN/trade/BTC_USDT

#B14g约9700万枚CORE遭未授权转移 #链上安全 #CORE #BTC #DeFi

⚠️ Ceci ne constitue pas un conseil en investissement. Veuillez tenir compte des risques.