Les plus grandes exploitations DeFi dans le Web3 : Comment prévenir des violations de sécurité similaires

Les protocoles de finance décentralisée (DeFi) offrent des services financiers décentralisés aux utilisateurs, leur permettant d'effectuer des transactions et de conclure des accords avec d'autres participants. Bien que les protocoles DeFi visent à fournir une plateforme sécurisée et fiable pour leurs utilisateurs, plusieurs exploitations au cours des dernières années ont causé des pertes de fonds importantes. Cet article discutera de certaines des exploitations DeFi les plus étendues qui se sont produites récemment.

Voici les 8 principales exploitations DeFi cryptographiques dans le Web3 après déduction des fonds retournés :

Ronin Chain – $600m

Mars 2023 a été un mois mouvementé pour l'espace des cryptomonnaies, avec le piratage du pont Axie Infinity Ronin en tête de liste à 612 millions de dollars.

Le pont Ronin est une chaîne latérale Ethereum utilisée dans le populaire jeu play-to-earn Axie Infinity.

Le groupe de cybercriminalité Lazarus, soupçonné d'avoir des liens avec la Corée du Nord, a réussi à obtenir les clés privées de neuf validateurs de transactions, leur permettant d'approuver deux grandes transactions et de déplacer les fonds depuis leur adresse de portefeuille. Heureusement, une collaboration entre les autorités, les sociétés de sécurité et les bourses de cryptomonnaies a permis de retrouver une partie de ces fonds après que les hackers les ont transférés vers Tornado Cash — un mélangeur de cryptomonnaies open-source — et d'autres bourses.

Pont Wormhole – $323m

En février 2022, un incident malheureux s'est produit alors que des pirates cryptographiques ont exploité le code d'un wormhole pour s'enfuir avec des cryptomonnaies d'une valeur de 326 millions de dollars.

Un wormhole est un pont de jetons entre Solana et Ethereum, qui n'a malheureusement pas réussi à empêcher l'attaque. Cela a été rendu possible par une fonction dépréciée/morte et insécure qui a contourné la vérification de signature et a permis la chaîne de délégations de signatures.

Les experts en cybersécurité suggèrent que les développeurs auraient pu prévenir l'attaque s'ils avaient pratiqué des « bonnes pratiques de codage sécurisé » où ils doivent vérifier tous les paramètres. La vérification aurait pu garantir l'authentification des adresses valides et ainsi exclure les sources illégitimes d'accéder aux actifs sur la chaîne.

Beanstalk – $181m

Un week-end d’avril 2022, un pirate a lancé une attaque qui a secoué la communauté crypto. En utilisant un prêt flash – une fonctionnalité des protocoles de finance décentralisée (DeFi) – il a réussi à voler 182 millions de dollars en ETH, en stablecoin BEAN et d’autres actifs du protocole stablecoin Beanstalk.

Les pirates ont soumis deux propositions malveillantes au DAO Beanstalk via sa fonction de validation d’urgence, qui nécessite un vote des deux tiers avant la mise en œuvre après 24 heures. L’attaquant a utilisé la technologie des prêts flash pour prendre le contrôle de 79 % des tokens afin de faire adopter les deux propositions et exécuter son plan avec succès.

Les fonds ont été envoyés depuis l’intérieur du protocole pour rembourser le prêt flash, le reste allant vers une adresse associée à un fonds d’urgence basé en Ukraine. Au total, jusqu’à 76 millions de dollars ont été pris par la personne responsable de cet acte courageux.

Nomad – $155m

L’intrigant piratage du pont Nomad a fait la une des journaux le 1er août 2022. Il a choqué de nombreux passionnés de blockchain alors que les attaquants ont profité d’une vulnérabilité pour vider plus de 190 millions de dollars d’actifs basés sur Ethereum stockés dans le pont multi-chaînes.

Les hackers ont agi rapidement et avec fureur, des centaines de portefeuilles étant engagés dans 960 transactions résultant en 1 175 retraits individuels de la Valeur Totale Verrouillée (TVL) du pont. Le tout en quelques heures.

Un aspect intrigant de ce piratage était que tout ce que les utilisateurs avaient à faire pour pirater les fonds du pont était de copier-coller les données d’appel de transaction de l’attaquant original, de remplacer l’adresse d’origine par la leur, et la transaction serait complétée.

Le piratage a envoyé des ondes de choc dans la communauté de la finance décentralisée (DeFi), prouvant que les pirates restent une longueur d’avance lorsqu’ils exploitent les failles du code. Le pont Nomad fournit un exemple illustratif démontrant l’importance de pratiques de codage sécurisées et renforce pourquoi la sécurité reste un défi permanent pour les projets blockchain aujourd’hui.

CREAM Finance – $130.8m

Bien que l’attaque contre CREAM en octobre 2021 ait été l’un des plus grands vols par prêt flash, ce n’était certainement pas un incident isolé. Les attaques par prêt flash consistent à utiliser un « prêt flash » de liquidité, à emprunter et à faire défaut sur ce financement rapide, le tout dans une seule transaction.

En exploitant des erreurs de calcul des prix, les pirates peuvent rapidement tirer profit de leurs emprunts. Par exemple, dans le cas de CREAM, deux adresses différentes ont interagi avec son yUSDVault pour créer un grand nombre de tokens crYUSD. Ils ont exploité une vulnérabilité qui doublait la valeur de ces parts. Bien qu’ils aient sécurisé avec succès 130 millions de dollars de fonds, les ~1 milliard de dollars de collatéral disponible auraient pu permettre de prendre bien plus que ce montant. 

Les attaques par prêt flash deviennent de plus en plus courantes, et la communauté devrait se poser des questions sur la manière de prévenir de nouvelles brèches de sécurité à l’avenir.

Hub de tokens BSC – $127m

En octobre 2022, des pirates exploitant une vulnérabilité critique dans le code du pont inter-chaînes BSC Beacon se sont approprié des actifs crypto d’une valeur totale de 570 millions de dollars.

La chaîne BSc Beacon, également connue sous le nom de Token Hub, est un pont inter-chaînes reliant la BNB Beacon Chain (BEP2) et la BNB Chain (BEP20/BSC).

Le pirate a falsifié des preuves cryptographiques appelées preuves Merkle, destinées à confirmer la validité de données telles que les transactions. À leur tour, ils ont utilisé ces fausses preuves Merkle pour transférer des fonds du pont inter-chaînes BSC Beacon vers d’autres chaînes.

Dès que Tether a bloqué l’adresse des attaquants, une action rapide a suivi avec plus de 7 millions de dollars déplacés depuis la chaîne BNB gelée, confisquant la majeure partie de leurs fonds mal acquis.

Harmony Horizon – $100m

En juin 2022, le projet Harmony Horizon Bridge a été compromis lorsque des pirates ont volé deux de ses cinq clés privées de validateur, permettant aux fraudeurs de transférer des tokens d’une valeur de 100 millions de dollars.

Ce problème de sécurité était dû à la manière dont le pont avait été configuré, avec un schéma de validation 2 sur 5. Par conséquent, l’attaquant n’avait besoin que de deux approbations pour qu’une transaction malveillante soit validée. Pour couvrir leurs traces, les attaquants ont utilisé Tornado Cash pour blanchir une partie de leurs gains mal acquis. 

Bien que cette configuration ait pu sembler sécurisée au départ, elle s’est révélée être une cible lucrative pour les acteurs malveillants et une leçon coûteuse en matière de sécurité blockchain pour ceux qui s’y sont fait prendre.

Rari- $91 m

Les attaques par réentrance existent depuis les premiers jours d’Ethereum. Elles ont utilisé des vulnérabilités de contrat pour retirer à plusieurs reprises des fonds avant que la transaction originale ne soit approuvée ou refusée.

En mai 2022, deux plateformes de finance décentralisée ont été compromises de cette manière, avec des pirates volant 90 millions de dollars. Jack Longarzo de Rari Capital a déclaré que l’attaquant avait exploité l’entreprise, et Fei Protocol, qui a fusionné avec Rari Capital, a offert une prime de 10 millions de dollars au pirate.

L’entreprise de sécurité blockchain BlockSec a expliqué que les pirates avaient utilisé une vulnérabilité de réentrance. 

Les développeurs peuvent prévenir ce type d’attaques en testant et en auditant correctement les contrats avant leur déploiement sur la blockchain Ethereum.

Comment se protéger des exploits DeFi

Les protocoles DeFi sont devenus de plus en plus populaires et complexes, ce qui les rend attractifs pour les pirates. Voici sept conseils pour vous aider à vous protéger des exploits DeFi :

1. Effectuez une diligence raisonnable approfondie sur tout projet avant d’investir. Vérifiez le code de la plateforme, le site web, les membres de l’équipe et les canaux sociaux pour détecter les signes avant-coureurs.
2. Assurez-vous qu’une source fiable a audité les contrats avec lesquels vous interagissez et que les résultats de l’audit sont publics.
3. Ne stockez pas de grandes quantités de fonds dans un seul contrat DeFi, ce qui le rend plus vulnérable aux attaques.
4. Restez à jour avec les dernières nouvelles en matière de sécurité pour vous informer sur les nouvelles exploitations.
5. Mettez en place des procédures d’authentification et d’autorisation appropriées pour tous les comptes qui interagissent avec les protocoles DeFi.
6. Assurez-vous que votre portefeuille est sécurisé et utilisez l’authentification à deux facteurs chaque fois que possible.
7. Surveillez régulièrement vos fonds et vos transactions sur la blockchain pour détecter toute activité suspecte ou tout retrait non autorisé.

Suivre ces conseils peut vous aider à vous protéger des exploits DeFi et à garantir la sécurité de vos fonds lors de l’interaction avec les protocoles de finance décentralisée. Cependant, il est également important de se rappeler qu’aucun système n’est infaillible, il est donc toujours préférable de prendre des précautions supplémentaires lors de la manipulation d’actifs numériques.

Conclusion

Dans l’ensemble, la sécurité est l’une des considérations les plus importantes lors de la manipulation de cryptomonnaies et de protocoles DeFi. Malheureusement, à mesure que l’industrie continue de croître, les risques d’activités malveillantes augmentent également. Bien qu’il soit impossible de garantir une sécurité totale, suivre ces conseils peut vous aider à vous protéger des exploits DeFi et à garder vos fonds en sécurité. 

En restant informé des derniers développements en matière de sécurité blockchain et en garantissant que des procédures d’authentification appropriées sont en place pour tous les comptes, vous pouvez aider à garantir que vos actifs numériques restent en sécurité.