Un pirate informatique utilise untracnon vérifié pour détourner 1,4 million de dollars des pools de jetons CUT

Selon CertiK, un compte malveillant a exploité une fonction illisible pour transférer 1,4 million de dollars en BSC-USD sans brûler les jetons LP correspondants. La plateforme d'analyse et de sécurité blockchain a révélé que les BSC-USD ont été retirés d'un pool de liquidités contenant des jetons CUT le 10 septembre.

CertiK a affirmé que letracdu jeton CUT s'appuyait sur untracdistinct non vérifié pour définir son « paramètre de rendement futur », permettant ainsi l'tracde BSC-USD par des méthodes obscures lors de quatre transactions distinctes. Selon CertiK, le jeton CUT compromis différait du projet Crypto Unit, bien qu'ayant le même symbole boursier, mais se situant à une adresse différente se terminant par « 36a7 » sur la Binance Smart Chain. La paire de jetons affectée était « 0x83681F67069A154815a0c6C2C97e2dAca6eD3249 », d'après les conclusions de CertiK.  

L'exploitation d'une faille de sécurité avec les jetons CUT entraîne des pertes de plus de 1,4 million de dollars

#CertiKInsight 🚨

Nous avons constaté une faille de sécurité dans le système de prêts flash impliquant le jeton CUT

BSC : 0x7057F3b0F4D0649B428F0D8378A8a0E7D21d36a7

Le contrat CUTtractractractractractractractractractractractractractractractractracqui n'est pas vérifié et contient… pic.twitter.com/ycE4Px3Nxy

— CertiK Alert (@CertiKAlert) 10 septembre 2024

CertiK a découvert une faille de sécurité liée aux prêts flash impliquant untracde token CUT utilisant « ILPFutureYieldContract(_lpFutureYieldContractAddress) at 0x0917914b0A70ee7F1f2460Fcd487696856E31154 », non vérifié et contenant des fonctionnalités cachées. La plateforme de sécurité crypto a confirmé que l'attaquant a manipulé le token CUT via FutureYield pour obtenir près de 1,4 million de dollars sur lacake BUSD/CUT. CertiK a confirmé que les fonds étaient actuellement détenus à l'adresse « 0x5766d1F03378f50c7c981c014Ed5e5A8124f38A4 »

Certik a indiqué que le pool vidé appartenait à la plateforme d'échange Pancakecakecakecakecakecakecakecakecakecaken'avait été affecté. Les données de la blockchain ont révélé que l'attaquant avait effectué quatre transactions distinctes pour retirer 1 448 974 $ d'un pool BSC-USD. Certik a affirmé avoir été alerté de cette transaction illégitime car l'attaquant n'avait effectué aucun dépôt dans le pool et ne possédait aucun jeton de fournisseur de liquidités. 

D'après le rapport de CertiK, l'attaquant a appelé la fonction « 0x7a50b2b8 », inexistante dans letracdu jeton. Le rapport révèle que l'attaquant a probablement appelé « ILPFutureYieldContract() », ce qui a permis d'appeler une autre fonction sur untracdistinct et non vérifié, dont l'adresse se terminait par « 1154 », ne présentant qu'un bytecode illisible. Dans ce cas précis, les fournisseurs de liquidités CUT ont collectivement perdu 1,4 million de dollars suite à cette exploitation.

Les attaques liées aux cryptomonnaies sont en hausse en 2024, avec des pertes dépassant les 310 millions de dollars en août

Les données de CertiK ont révélé que plus de 310 millions de dollars ont été perdus en août 2024 suite à une combinaison de piratages, d'escroqueries et d'exploitation de failles de sécurité. Ces données confirment qu'il s'agit de la deuxième perte mensuelle la plus importante de l'année 2024. Selon ces données, environ 0,8 million de dollars ont été perdus à cause d'escroqueries à la sortie, environ 1,2 million de dollars à cause de prêts flash et 308,8 millions de dollars à cause d'exploitation de failles de sécurité, tandis que seulement 10,3 millions de dollars ont été récupérés. 

Les données de CertiK révèlent que les victimes d'hameçonnage ont perdu un total de 293 millions de dollars. Notamment, les principales attaques de prêts éclair en août ont entraîné des pertes pour Vow (1,2 million de dollars), MintStakeShare (33 500 dollars) et Satoshi (5 000 dollars), tandis que les principales arnaques de sortie ont causé des pertes pour les jetons Grimace (649 000 dollars), Sigma (136 000 dollars) et Mbappe (88 000 dollars). Les principales failles de sécurité exploitées en août ont touché Ronin Network (11,8 millions de dollars), Nexera (448 800 dollars), Convergence (210 000 dollars), iVest DAO (172 000 dollars) et AAVE Periphery Ctr (64 000 dollars).

Immunefi a révélé que plus de 1,2 milliard de dollars ont été perdus à cause de pirates informatiques spécialisés dans les cryptomonnaies en 2024, ce qui représente une augmentation de 15,5 % par rapport à la même période en 2023.