Le système financier décentralisé basé sur le crédit Beanstalk a révélé dimanche avoir subi une faille de sécurité qui a entraîné des pertes financières de 182 millions de dollars, l’attaquant ayant volé 80 millions de dollars en actifs cryptographiques.
À la suite de cette attaque, la confiance dans le marché de Beanstalk a été compromise et la valeur de son stablecoin BEAN basé sur le crédit décentralisé s’est effondrée d’un peu plus de 1 $ dimanche à 0,11 $ en ce moment.
La plateforme de finance décentralisée (DeFi) détaillée sur son Chaîne discorde que l’attaquant a contracté un prêt flash sur Aeve, un protocole de liquidité, et a utilisé son pouvoir de vote en détenant une grande quantité du jeton de gouvernance natif Stalk pour faire passer une proposition malveillante.
Une autopsie analyse de l’attentat des auditeurs et développeurs de contrats intelligents d’Omniscia explique que le pirate a réussi à voler les actifs via une proposition malveillante :
[…] Protocole haricot magique a subi une attaque de prêt flash en raison d’une faille dans ses silos Curve LP nouvellement introduits qui a compromis le mécanisme de gouvernance du protocole, permettant finalement à l’attaquant de mener une exécution d’urgence d’une proposition malveillante siphonnant les fonds du projet.
Essentiellement, l’attaquant s’est autorisé à drainer tous les fonds du protocole vers un portefeuille Ethereum privé dans une instance, ayant le pouvoir de voter en faveur de l’action.
Un prêt flash permet aux utilisateurs d’emprunter une grande quantité de stablecoins à d’autres commerçants sans offrir de garantie (non garantie) et le processus d’approbation d’un prêt et de son retour se fait en une seule transaction sur la blockchain, en quelques secondes.
Certains pirates ont identifié des vulnérabilités dans diverses plates-formes DeFi qui sont exploitables dans ces courts délais, effectuant des actions malveillantes juste après l’approbation d’un prêt flash.
Les plates-formes DeFi se défendent contre cette menace en utilisant des oracles de prix décentralisés et d’autres systèmes de protection, mais toutes n’ont pas établi une défense solide.
L’attaque sur Beanstalk a profité d’un manque de mesure résistante pour arrêter la manipulation de la gouvernance via les prêts flash Stalk, qui était le point de défaillance qui a fait le succès de l’attaque.
« Le défaut principal qui a conduit à la manifestation de l’exploit est que les deux nouveaux actifs LP [BEAN3CRV-f and BEANLUSD-f] introduit pour le système Silo du projet pourrait être créé via un prêt flash (car ils représentaient des unités LP) et leur calcul de valeur libellée en haricot (BDV) n’a pas été affecté par le prêt flash contrairement au calculateur Uniswap LP BDV «
Que se passe-t-il maintenant
Beanstalk n’a pas partagé ses plans pour aller de l’avant, donc rembourser les investisseurs reste une action incertaine.
« Nous pensons qu’il est nécessaire d’éduquer et d’informer les acteurs non techniques du marché sur le statut, la portée et les limites des audits techniques. Notre équipe travaille actuellement sur de multiples initiatives visant à démystifier les audits », lit-on dans le une analyse.
La plate-forme enquête toujours sur l’incident et a ouvertement appelé la communauté DeFi et les experts en analyse de la blockchain pour les aider à récupérer ce qu’ils peuvent. En même temps, il a aussi invité l’exploiteur à négocier.
Nous engageons tous les efforts pour essayer d’aller de l’avant. En tant que projet décentralisé, nous demandons à la communauté DeFi et aux experts en analyse de chaîne de nous aider à limiter la capacité de l’exploiteur à retirer des fonds via les CEX. Si l’exploiteur est ouvert à la discussion, nous le sommes aussi. https://t.co/fwceVz6hbi
— Fermes de haricot magique (@BeanstalkFarms) 17 avril 2022
Fait intéressant, l’analyse de la blockchain PeckShield rapports que le pirate a fait don de 250 000 $ du montant volé à l’Ukraine.
Les analystes notent que le pirate a également utilisé le service de mélange de pièces Tornado Cash pour cacher ses traces.
Les plateformes DeFi sous le feu
Un rapport de Chainalysis de la semaine dernière indique que les plates-formes DeFi sont au centre des attaques cryptographiques en 2022, et l’incident de Beanstalk est une autre confirmation de cette tendance.
En règle générale, ces piratages se produisent via une faille de sécurité ou un exploit dans le code, de sorte que les attaques par prêt flash sont susceptibles de devenir moins fréquentes.