- SlowMist a remarqué un trafic inhabituel provenant de certains market makers sur 1Inch.
- L'exploitation a effectué des appels falsifiés aux bots de trading, qui ont finalement envoyé leurs règlements à l'adresse de l'attaquant et non au contrat de règlement de 1Inch.
- 1Inch a poursuivi ses opérations, malgré le ralentissement global ces derniers mois.
Trusted Volumes, l'un des market makers sur 1Inch, a été piraté pour 4,5 M$. L'agrégateur DEX 1Inch a immédiatement remarqué les sorties suspectes, qui n'ont affecté qu'une partie limitée du protocole et n'ont pas entraîné de blocage des transactions ou de gel pour la plupart des traders.
Le market maker pour 1Inch, Trusted Volumes, a été touché par un piratage qui a détourné 4,5 M$. Plusieurs autres market makers plus petits ont également été affectés, pour un total de 0,5 M$.
La perte exacte était difficile à estimer, car une partie des fonds était sous forme de WETH, dont le prix fluctue. SlowMist estime la perte totale à environ 5 M$, dont 2,4 M$ en USDC. Un total de 2M USDC a été transféré en une seule transaction, divisé entre deux adresses.
Selon notre analyse, cet incident a entraîné une perte de 2,4 millions de $USDC et de 1276 $WETH, totalisant plus de 5 millions de dollars.
— SlowMist (@SlowMist_Team) mars 7, 2025
SlowMist a identifié le règlement 1Inch officiels, qui était le centre de l'exploitation, drainant les fonds de plusieurs market makers.
Le pirate a vidé les fonds des market makers via le contrat intelligent de résolution
Analyste on-chain Chaofan Shou a identifié le problème avec le contrat intelligent de résolution, qui interagissait avec les bots de trading des market makers. Après que le pirate a fait une erreur, les explorateurs « white hat » ont tenté de récupérer une partie des fonds, que le pirate avait par erreur renvoyés à 1Inch.
La vulnérabilité était uniquement présente dans l'implémentation désormais obsolète Fusion V1 du contrat. Actuellement, 1Inch utilise une version révisée mais a conservé l'ancien système de résolution pour certains participants de l'écosystème. Après l'incident, l'entreprise a attiré l'attention sur son programme de prime pour les bogues, qui offre une prime jusqu'à $500K pour les vulnérabilités critiques.
1Inch a noté que tous les market makers utilisent désormais un contrat de règlement mis à jour sans cette vulnérabilité. Les enquêteurs on-chain ont noté que l'attaquant a exploité la capacité de se connecter aux bots et de retirer leurs fonds au lieu de les utiliser pour le règlement sur 1Inch.
Le pirate pouvait forger des appels aux market makers et attaquer directement leur liquidité. Les appels aux market makers usurpaient l'identité du contrat original de 1Inch et incitaient les bots de trading à envoyer leurs fonds à l'attaquant.
Le market maker 1inch @trustedvolumes a été piraté pour plus de 4,5 M$ et quelques market makers plus petits ont été piratés pour 0,5 M$ hier.
La cause racine est que 1inch appelle la fonction resolveOrders du contrat du MM pour obtenir des fonds vers son contrat de règlement. La plupart des bots ne vérifiaient que le msg.sender = settlement… https://t.co/CMo6x5S7Vg pic.twitter.com/kSnkP5jpiH
— Chaofan Shou (@Fried_rice) mars 7, 2025
1Inch a contacté tous les market makers disposant de contrats de résolution pour qu'ils mettent à jour leurs versions, bien qu'aucun nouveau mouvement de fonds n'ait été remarqué. L'exploitation ne nécessite aucune action de la part des utilisateurs réguliers et n'a pas affecté les portefeuilles personnels.
La récente attaque contre un contrat intelligent couramment utilisé montre que la sécurité Web3 reste un problème, même pour des protocoles leaders comme 1Inch. La plateforme dispose d'une 94.41% note de Certik et était considérée comme très sécurisée jusqu'à récemment.
Malgré la surveillance de Certik, tout le code de 1Inch n'a pas été vérifié et audité. Un total de trois contrats, soit environ 39 % du code du projet, ont été vérifiés. 1Inch lui-même n'est pas la cible, car le protocole ne transporte que 4.35 M$ en valeur verrouillée.
L'agrégateur DEX s'étend sur sept chaînes différentes, Ethereum restant la plus active. Le protocole a ralenti sa génération de frais après un pic récent en novembre et décembre 2024. Par la suite, le protocole a généré 170 K$ de frais hebdomadaires. Malgré l'activité réduite, 1Inch reste un incontournable pour les traders Ethereum à petite échelle. Le protocole a conservé 549 K d'utilisateurs actifs mensuels mensuels.
1Inch token unaffected after the hack
Le token 1Inch est resté largement épargné par les nouvelles du piratage, négociant autour de 0,23 $, près de ses plus bas de trois mois. 1Inch suit la tendance générale de ralentissement du marché, avec une demande limitée même pour les tokens liés aux protocoles les plus utilisés.
Depuis le marché haussier de 2021, 1Inch s'est tourné vers les utilisateurs à petite échelle. La plupart des utilisateurs postent des trades inférieurs à 1 000 $, tandis que la taille médiane des trades a diminué sur toutes les chaînes.
1Inch n'est plus le terrain de jeu des baleines ou des premiers adoptants, mais conserve une base d'utilisateurs plus réduite pour swaps à faible valeur, parfois inférieurs à $10.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hristina Vasileva
Hristina Vasileva se spécialise dans les actualités liées à la DeFi, aux entreprises et à l'économie. Elle est diplômée de l'Université de Sofia avec un master en philosophie, après avoir obtenu une licence de quatre ans en administration des affaires, journalisme et communication de masse. Elle a travaillé pour l'un des principaux journaux du pays, couvrant les matières premières et les résultats d'entreprises. Actuellement, Hristina est auteure contributrice chez Cryptopolitan.
