Plusieurs pools stables sur Curve Finance ont été exploités pour plus de 26 millions de dollars en wETH et CRV.
Les piscines stables concernées utilisaient Vyper qui avait un verrou de réentrée défectueux.
L'exploit a été suivi d'une deuxième attaque sur le pool crv/eth, qui a entraîné une sortie de 14 millions de dollars supplémentaires.
Le jeton natif CRV a perdu plus de 19 % de sa valeur, atteignant un plus bas de quatre semaines à 0,61 $.
Le principal protocole DeFi, Curve Finance, est devenu la cible de plusieurs exploits plus tôt dans la journée, où les attaquants ont touché trois pools stables, ce qui a entraîné une sortie de fonds de plus de 40 millions de dollars. L'attaque initiale visait les pools d'usine d'Alchemix, Metronome et JPEGd, qui souffraient tous d'une faille de sécurité appelée vulnérabilité de réentrance.
L'opération Whitehat interrompue par l'exploit financier de Second Curve
Selon les données compilées par la société de sécurité blockchain Ancilia, les pools stables concernés, à savoir alETH, msETH et pETH, utilisaient tous un langage de contrat intelligent Python appelé Vyper. Les versions 0.2.15, 0.2.16 et 0.3.0 de Vyper auraient été vulnérables à des verrous de réentrée défectueux, ce qui a permis au pirate de retirer à plusieurs reprises des fonds du contrat intelligent.
L'attaquant a réussi à exploiter Alchemix à hauteur de 13,6 millions de dollars, tandis que le protocole de prêt NFT JPEGd a perdu 11,4 millions de dollars. 1,6 million de dollars ont été drainés du pool sETH-ETH-f de Metronome DAO. Les jetons associés aux trois projets ont connu une tendance à la baisse significative après les exploits.
Une opération de sauvetage blanche a été annoncée peu après que les rapports sur les exploits ont commencé à prendre le dessus sur la communauté crypto sur Twitter. Curve Finance a assuré à la communauté que les contrats crvUSD et les pools associés n'étaient pas affectés par les attaques. Le protocole DeFi a en outre demandé à toutes les parties concernées de se coordonner avec les efforts du white hat.
pool crv/eth vidé quelques minutes avant une opération whitehack :(https://t.co/rhALBzkTEi
– banteg (@bantg) 30 juillet 2023
Cependant, avant que l'opération white hat ne puisse garantir la sécurité des fonds, une autre attaque a été lancée sur le pool crv/eth. Les données d'Etherscan ont montré que l'attaquant a drainé 7 millions de jetons Curve DAO (CRV) et 14 millions de dollars d'Ether enveloppé (wETH) dans l'exploit. Le portefeuille utilisé dans cet exploit aurait été financé par Binance. Le dernier exploit a porté la perte totale à plus de 46 millions de dollars.
La vague d'exploits a eu un impact significatif sur les tokens des projets concernés. CRV a perdu plus de 19 % de sa valeur, atteignant un plus bas de quatre semaines à 0,61 $. Au moment de la rédaction de cet article, le token se négociait à 0,63 $.