Une faille de sécurité a permis de dérober 7.8 millions de dollars en rsETH dans le portefeuille sécurisé d'un utilisateur via un exécuteur de stratégie compromis.
Entreprises de sécurité Blockchain Blocage de l'aide, peckshield et BlocSec Une faille de sécurité a été confirmée, ayant permis de dérober environ 7.8 millions de dollars en rsETH (soit environ 2 900 jetons) depuis un portefeuille Gnosis Safe sur Ethereum. L'incident a débuté à 4 h 38 UTC par une transaction initiale ayant transféré la majeure partie des fonds, suivie de plusieurs transactions de moindre importance au cours de l'heure suivante, pour un montant total d'environ 160 000 dollars supplémentaires, selon les rapports des entreprises.
La cause première était un contrôle d'autorisation défectueux dans le contrat d'exécution, identifié par les analystes comme l'adresse 0x4f0055926c839D1d960a82CBF84E2eE933958ebC.
Le coffre-fort ciblé, appartenant à un important détenteur de rsETH à effet de levier, s'appuyait sur un module d'exécution de stratégie autorisé qui exposait un point d'entrée de recette. Ce point d'entrée transmettait l'intégralité des données d'appel fournies par l'appelant à la fonction `execTransactionFromModuleReturnData` du coffre-fort en utilisant `operation=1` (DELEGATECALL) sans contrôler l'appelant externe. La définition du paramètre de contrat fourni sur l'adresse de l'exécuteur a passé la validation, ce qui signifie que toute personne pouvant atteindre le point d'entrée pouvait exécuter du code arbitraire dans le contexte du coffre-fort et ainsi obtenir le contrôle total de ses actifs.
L'attaquant a utilisé un appel multiple public pour acheminer le module Uni V4 LP Safe autorisé vers un pool Uniswap V4 modifié par l'attaquant, via Permit2 et le PositionManager. Il avait déployé un token sans valeur, baptisé « Permissionless Attacker Token » (PAT), et fourni environ 2 900 aEthrsETH en garantie. Un hook personnalisé dans le pool a converti les aEthrsETH en rsETH et les a extraits du Safe, laissant ce dernier avec un LP sans valeur. NFT.
Le robot MEV prend l'avantage ; KelpDAO impose une pause temporaire
Il est à noter que la transaction d'attaque initiale n'a jamais atteint son destinataire. L'attaquant a lancé l'exploitation directement dans le mempool public, où elle a été prise en charge par un bot MEV nommé « yoink », qui a capturé la totalité des ~2 882 rsETH (d'une valeur approximative de 7.8 millions de dollars) et les a acheminés vers l'adresse 0xC70f00CD7E461686b04B0E912E309becA8b80ea0. En réalité, c'est un bot MEV, et non l'attaquant, qui a empoché les fonds volés.
En réponse, KelpDAO a annoncé avoir détecté une activité suspecte sur l'adresse de réception et l'a placée sous une suspension préventive de 24 heures, durant laquelle aucun transfert de rsETH n'est possible. L'équipe a indiqué collaborer avec des experts en sécurité pour mener l'enquête et a souligné que cette mesure ne concerne que le portefeuille : les contrats Kelp restent sécurisés, le rsETH est maintenu et toutes les opérations de création, de retrait et d'intégration se poursuivent normalement, sans aucune action requise de la part des utilisateurs.
Les analystes de sécurité ont souligné qu'il s'agissait d'un abus d'autorisation de module spécifique à un seul Safe, et non d'une vulnérabilité dans les contrats principaux ou les clés de propriétaire de Safe. Cet incident met néanmoins en lumière un risque persistant pour les utilisateurs de portefeuilles de contrats intelligents : le protocole principal de Safe n'a jamais été exploité directement, mais les utilisateurs ont subi à plusieurs reprises des pertes de fonds suite à des compromissions d'infrastructure et à des extensions tierces vulnérables, notamment plus de 2 millions de dollars dérobés lors d'attaques par empoisonnement d'adresses ayant touché 21 utilisateurs de Safe en 2023.
Clause de non-responsabilité
En ligne avec la Lignes directrices du projet de confiance, veuillez noter que les informations fournies sur cette page ne sont pas destinées à être et ne doivent pas être interprétées comme des conseils juridiques, fiscaux, d'investissement, financiers ou toute autre forme de conseil. Il est important d’investir uniquement ce que vous pouvez vous permettre de perdre et de demander des conseils financiers indépendants en cas de doute. Pour plus d'informations, nous vous suggérons de vous référer aux conditions générales ainsi qu'aux pages d'aide et de support mises à disposition par l'émetteur ou l'annonceur. MetaversePost s'engage à fournir des rapports précis et impartiaux, mais les conditions du marché sont susceptibles de changer sans préavis.
A propos de l'auteur
Alisa, journaliste dévouée au MPost, se spécialise dans les cryptomonnaies, l'IA, les investissements et le vaste domaine de Web3. Avec un œil attentif sur les tendances et technologies émergentes, elle propose une couverture complète pour informer et impliquer les lecteurs dans le paysage en constante évolution de la finance numérique.
Plus d'articles
Alisa, journaliste dévouée au MPost, se spécialise dans les cryptomonnaies, l'IA, les investissements et le vaste domaine de Web3. Avec un œil attentif sur les tendances et technologies émergentes, elle propose une couverture complète pour informer et impliquer les lecteurs dans le paysage en constante évolution de la finance numérique.
