Un pirate utilise un contrat non vérifié pour vider 1,4 M$ des pools de jetons CUT

Selon CertiK, le compte d'un attaquant a utilisé une fonction illisible pour transférer 1,4 M$ en BSC-USD sans brûler les jetons LP équivalents. La plateforme d'analyses blockchain et de sécurité a révélé que le BSC-USD a été vidé le 10 septembre d'un pool de liquidité contenant des jetons CUT.

CertiK a affirmé que le contrat de jeton CUT s'appuyait sur un contrat séparé non vérifié pour définir son « paramètre de rendement futur », permettant l'extraction du BSC-USD par des méthodes mystérieuses en quatre transactions distinctes. Selon CertiK, le jeton CUT exploité différait du projet Crypto Unit avec le même symbole ticker mais situé à une adresse différente se terminant par « 36a7 » sur la Binance Smart Chain. La paire affectée était « 0x83681F67069A154815a0c6C2C97e2dAca6eD3249 », selon les conclusions de CertiK.  

L'exploitation des jetons CUT entraîne des pertes de plus de 1.4 millions de dollars

#CertiKInsight 🚨

Nous avons assisté à une exploitation par flashloan impliquant le jeton CUT

BSC : 0x7057F3b0F4D0649B428F0D8378A8a0E7D21d36a7

Le contrat CUT utilise ILPFutureYieldContract(_lpFutureYieldContractAddress) à 0x0917914b0A70ee7F1f2460Fcd487696856E31154 qui n'est pas vérifié et contient… pic.twitter.com/ycE4Px3Nxy

— CertiK Alert (@CertiKAlert) Septembre 10, 2024

CertiK a découvert une exploitation par flashloan impliquant un contrat de jeton CUT utilisant « ILPFutureYieldContract(_lpFutureYieldContractAddress) à 0x0917914b0A70ee7F1f2460Fcd487696856E31154 », qui n'était pas vérifié et contenait une fonctionnalité cachée. La plateforme de sécurité crypto a affirmé que l'attaquant a manipulé CUT en utilisant FutureYield pour obtenir près de 1,4 million de dollars du pair BUSD-CUT sur PancakeSwap. CertiK a confirmé que les fonds étaient actuellement détenus à « 0x5766d1F03378f50c7c981c014Ed5e5A8124f38A4 ».

Certik a divulgué que le pool vidé faisait partie de l'échange Pancakeswap, mais aucun autre pool Pancakeswap n'était affecté. Les données blockchain a révélé indiquent que l'attaquant a effectué quatre transactions distinctes pour retirer 1 448 974 $ d'un pool BSC-USD. CertiK a affirmé qu'il a été alerté de la transaction illégitime car l'attaquant n'a effectué aucun dépôt dans le pool ni possédé aucun jeton de fournisseur de liquidité. 

Selon le rapport de CertiK, l'attaquant a appelé la fonction « 0x7a50b2b8 » qui n'existait pas dans le contrat de jeton. Le rapport a révélé que l'attaquant a dû appeler « ILPFutureYieldContract() », permettant l'appel d'une autre fonction sur un contrat non vérifié entièrement séparé avec une adresse se terminant par « 1154 », ne montrant qu'un bytecode illisible. Dans ce cas, les fournisseurs de liquidité CUT ont collectivement perdu 1,4 M$ en raison de l'exploitation.

Les exploitations crypto en hausse en 2024 avec plus de 310 M$ de pertes en août

Les données de CertiK indiquaient indiquent que plus de 310 millions de dollars ont été perdus en raison d'une combinaison de piratages, d'arnaques et d'exploitations en août 2024. Les données ont confirmé qu'il s'agissait de la deuxième plus haute perte mensuelle en 2024. Selon les données, ~0,8 million de dollars ont été perdus à cause de scams de sortie, ~1,2 million de dollars à cause de flash loans, et 308,8 millions de dollars à cause d'exploitations, tandis que seulement 10,3 millions de dollars ont été récupérés. 

Les données de CertiK ont révélé que les victimes de phishing avaient perdu un total de 293 millions de dollars. Notamment, les principales attaques par flashloan en août ont entraîné des pertes pour Vow (1,2 M$), MintStakeShare (33,5 K$) et Satoshi (5 K$), tandis que les principaux scams de sortie ont entraîné des pertes pour le jeton Grimace (649 K$), Sigma (136 K$) et le jeton Mbappe (88 K$). Les principales exploitations en août ont touché le réseau Ronin (11,8 M$), Nexera (448,8 K$), Convergence (210 K$), iVest DAO (172 K$) et AAVE Periphery Ctr (64 K$).

Immunefi a divulgué que plus de 1,2 milliard de dollars ont été perdus au profit des pirates crypto en 2024, représentant une augmentation de 15,5 % par rapport à la même période en 2023.