🛡️ Une vérification d’entrée oubliée, 77 coffres vidés en une journée
J’ai vu ce genre de chose beaucoup trop souvent.
Pendant la frénésie DeFi de l’été 2020, les contrats qui finissaient par avoir des problèmes étaient toujours ceux où « il manquait une vérification dans le code ».
Le 8 novembre, ACryptoS a été attaqué.
SlowMist estime les pertes à environ 665 000 dollars. L’attaque a touché 77 coffres sur cinq chaînes : Arbitrum, BNB Chain, Polygon, Base et Optimism.
Selon les informations publiées, la cause serait l’absence d’une vérification des entrées dans la fonction de dépôt multi-actifs :
L’attaquant n’a renseigné la quantité que d’un seul actif dans un coffre à deux actifs, faussant ainsi le calcul des parts, puis a utilisé les parts supplémentaires pour retirer les deux actifs.
Le pire :
Le nombre de parts dans votre portefeuille n’a pas changé, impossible de voir que le pool a déjà été vidé.
Gardez ces trois règles de base :
• Quand le même code est déployé sur plusieurs chaînes, si un incident survient sur l’une d’elles, ce n’est qu’une question de temps avant que les autres soient ciblées
• Commencez par un petit montant, ne placez pas tout d’un coup dans un nouveau coffre
• Révoquez les autorisations une fois que vous n’en avez plus besoin, ne laissez pas le contrat disposer indéfiniment de cette capacité
Plus le rendement d’un coffre est alléchant, plus il faut d’abord se demander : qui l’a audité, et avez-vous lu le rapport d’audit ?
Combien d’autorisations non révoquées avez-vous encore dans votre portefeuille ?
#Web3安全 #BNBChain $BNB
Ceci ne constitue pas un conseil en investissement. DYOR
J’ai vu ce genre de chose beaucoup trop souvent.
Pendant la frénésie DeFi de l’été 2020, les contrats qui finissaient par avoir des problèmes étaient toujours ceux où « il manquait une vérification dans le code ».
Le 8 novembre, ACryptoS a été attaqué.
SlowMist estime les pertes à environ 665 000 dollars. L’attaque a touché 77 coffres sur cinq chaînes : Arbitrum, BNB Chain, Polygon, Base et Optimism.
Selon les informations publiées, la cause serait l’absence d’une vérification des entrées dans la fonction de dépôt multi-actifs :
L’attaquant n’a renseigné la quantité que d’un seul actif dans un coffre à deux actifs, faussant ainsi le calcul des parts, puis a utilisé les parts supplémentaires pour retirer les deux actifs.
Le pire :
Le nombre de parts dans votre portefeuille n’a pas changé, impossible de voir que le pool a déjà été vidé.
Gardez ces trois règles de base :
• Quand le même code est déployé sur plusieurs chaînes, si un incident survient sur l’une d’elles, ce n’est qu’une question de temps avant que les autres soient ciblées
• Commencez par un petit montant, ne placez pas tout d’un coup dans un nouveau coffre
• Révoquez les autorisations une fois que vous n’en avez plus besoin, ne laissez pas le contrat disposer indéfiniment de cette capacité
Plus le rendement d’un coffre est alléchant, plus il faut d’abord se demander : qui l’a audité, et avez-vous lu le rapport d’audit ?
Combien d’autorisations non révoquées avez-vous encore dans votre portefeuille ?
#Web3安全 #BNBChain $BNB
Ceci ne constitue pas un conseil en investissement. DYOR