Le protocole Ankr a été exploité par des attaquants qui ont mis à mal des milliards deBNB

Le 2 décembre, à 12h35 GMT, Peckshield a signalé une faille de sécurité exploitée par un attaquant sur Ankr . Cette faille a permis de dérober 20 000 milliards deBNBjetons de récompense

Ankr Reward Bearing Staked BNB (unBNBc) est un jeton à récompense, ce qui signifie que sa quantité reste inchangée dès son staking. Le jeton prend de la valeur à mesure que son taux de rachat augmente grâce à l'accumulation des récompenses.

Ankr a lancé le token sur la Binance Chain en tant que fonction de staking liquide sur Ankr. Les utilisateurs ont perçu des intérêts en bloquant leurs BNB sur letracSmart et ont reçu unBNBcomme preuve de leur staking. 

À la poursuite de la piste de l'argentBNBc

Selon Lookonchain, l'attaquant a dérobé les clés du déployeur Ankr et a créé 10 billions deBNBqu'il s'est envoyés. Il a ensuite transféré 1,125BNB à cette adresse pour couvrir les frais de gaz et a commencé à se débarrasser des jetons volés.

L'attaquant a de nouveau exploité latracdu contrat et a émis 10 000 milliards de jetons supplémentaires. Après ces exploitations, il a commencé à blanchir de l'argent en BNB et Ethereum via Tornado cash.

Tornado Cash est untracintelligent décentralisé et open source qui propose un service de blanchiment de fonds de cryptomonnaies « contaminés » avec d'autres afin d'obscurcir la source des fonds.

L'attaquant a également transféré les fonds volés vers Helio Money ; en utilisant ces fonds comme garantie, il a emprunté 16 millions de dollars HAY qu'il a ensuite vendus contre 15,5 millions de dollars BUSD. Il a répété ce type d'opérations à plusieurs reprises, vendant des dollars HAY contre BNB .

Analyse de la faille HAY de 16 millions de dollars par Lookonchain.

La société de sécurité Peckshield a révélé qu'un bug affectait la fonction de création dutracAnkr. Une signature de fonction w/0x3b3a5522, intégrée autrac, permettait de contourner la fonction OnlyMinter et d'effectuer une création arbitraire. 

Peckshield a également noté que les attaquants ont transféré des fonds via Celer et de BridgeGate vers Ethereum et Tornado cash. 

Ankr a réagi sur Twitter en reconnaissant le piratage et a rapidement notifié les plateformes d'échange de suspendre les transactions de tokens. L'entreprise a conseillé à sa communauté d'éviter toute transaction, de retirer ses liquidités des plateformes et a annoncé l'émission de nouveaux tokens. Cette mesure rendrait les tokens volés sans valeur.

Peckshield a relevé plusieurs failles de sécurité dans la fonction mint. 

Les attaquants restent très actifs ; les statistiques de la blockchain indiquent que les exploiteurs ont également brûlé des milliards de jetons.

Selon Peckshield, certains utilisateurs malveillants ont transféré des USDC et des BUSD issus de cette faille vers la Binance . Le montant total des fonds transférés sur Binance s'élève à environ 19 millions de dollars.  

Le PDG Binance Changoeng Zhao (CZ), a reconnu l'existence de ces attaques, précisant que les fonds transférés par les pirates vers Binance , d'un montant de 3 millions de dollars, avaient été gelés et que les retraits étaient suspendus. Il a également indiqué que le pirate était parvenu à dérober les clés privées dutrac.

Impact de l'exploitation du protocole Ankr

À 2 h GMT, le prix duBNBa chuté de 99 % suite à cette faille de sécurité. Les échanges sont actuellement suspendus sur plusieurs plateformes d'échange, l'équipe d'Ankr s'efforçant de résoudre le problème et de rembourser les utilisateurs concernés.

Cette faille de sécurité a affecté le stablecoin HAY, qui a chuté de 35 % au cours des dernières 24 heures et se négocie à 0,6434 $. À son plus haut niveau, il est tombé à 0,2113 $.

Ankr s'échange à 0,02168 $, en baisse de 3,93 points au cours des dernières 24 heures. BNB est resté relativement stable à 290,4 $.

À mesure que la situation évolue, nous pouvons nous attendre à des mises à jour régulières de la part des parties concernées. Binance et Ankr sont pleinement mobilisées sur l'affaire ; Binance devrait geler les fonds transférés vers sa plateforme, tandis que les analystes s'attacheront à tracl'origine des fonds volés.

Le protocole Ankr s'ajoute à une série d'autres DeFi en 2022. Selon une analyse de Chainalysis, le nombre de DeFi en 2022 a atteint un niveau record, ayant déjà entraîné une perte de plus de 800 millions de dollars pour les investisseurs.