Les pirates frappent la fourche Flooring Protocol Asterisk alors que la contagion s'étend
- Une faille a permis de vider environ 40 000 $ d'Asterix, une fourche de Flooring Protocol, en exploitant la même vulnérabilité qui avait coûté plus de 900 000 $ à Flooring un jour plus tôt.
- Des chercheurs « white hat » dirigés par Yuga Labs ont récupéré environ 500 000 $ en NFTs dans les pools de Flooring.
- Ces deux attaques consécutives mettent en lumière le risque lié aux bases de code fourchées héritant de failles de sécurité non corrigées, dans une année où les pertes dues aux exploits crypto ont déjà dépassé 340 millions de dollars.
L'exploitation du Flooring Protocol du 8 juin a eu une suite plus tôt aujourd'hui lorsque Asterix, une fourche de la plateforme de liquidité NFT, est devenue la victime d'une exploitation qui a drainé environ 40 000 $ d'actifs.
Les nouvelles de l'exploitation assombrissent l'atmosphère après que des chercheurs en chapeau blanc ont signalé avoir aidé à récupérer plus de 500 000 $ en NFTs blue-chip de la même vulnérabilité des contrats Flooring qui semble avoir été utilisée pour pénétrer Asterisk.
La vulnérabilité du Flooring Protocol s'est propagée à Asterix via du code fourché
Un membre de l'entreprise de sécurité blockchain BlockSec, Phalcon, a été l'un des premiers à remarquer les similitudes entre le vecteur d'attaque d'Asterix et la faille qui a permis aux attaquants de vider les pools du Flooring Protocol le 8 juin.
Phalcon a déclaré que l'attaque du Flooring Protocol a essentiellement été rejouée sur Asterix car ce dernier a apparemment été fourché à partir de DN404/BT404, un standard de jeton qui mélange les mécaniques fongibles et non fongibles.
Les rapports initiaux sur l'incident Flooring indiquaient des pertes supérieures à 900 000 $ avant les interventions des chapeaux blancs aient aidé à récupérer environ 500,000.
Asterix a déjà confirmé la brèche dans un déclaration sur X, reconnaissant qu'une exploitation avait touché le contrat de jeton $ASTX vers 4 h GMT+8. L'équipe a déclaré qu'elle enquêtait et publierait un rapport complet une fois l'analyse terminée.
Comment l'exploitation de Flooring s'est-elle produite ?
Flooring Protocol, qui a cessé ses opérations l'année dernière, permettait aux utilisateurs de déposer des NFTs dans des pools et de recevoir des jetons fongibles adossés un pour un à ces actifs verrouillés.
L'attaque du Flooring Protocol qui s'est ensuite propagée a exploité une faille dans le système de comptabilité de style BT404 de la plateforme, que le VP Blockchain de Yuga Labs a qualifié de phénomène de « propriété fantôme » sur X.
En termes simples, cela signifie que quelqu'un pourrait utiliser un ID de jeton malveillant pour passer un contrôle de propriété et le réutiliser pour produire un résultat différent dans une autre logique comptable, provoquant un problème mathématique dans le solde du jeton.
Dans ce cas, l'attaquant a créé un solde quasi infini de fpTokens, les jetons fongibles que tout le monde peut utiliser pour réclamer les NFTs verrouillés dans les pools de Flooring.
Yuga Labs intensifie ses efforts de chapeau blanc
Une fois que le drain de Flooring est devenu public, le PDG de Yuga Labs, Michael Figge, a déclaré que l'entreprise a rapidement lancé un sauvetage en chapeau blanc avant qu'un autre attaquant n'atteigne les NFTs vulnérables.
L'opération de sauvetage des NFTs a sécurisé 68 NFTs estimés à 346 ETH (environ 570 000 $ à l'époque), dont 29 Bored Ape Yacht Club NFTs, quatre Mutant Apes, deux CryptoPunks, un Azuki, deux Elementals, 26 Captains, un Moonbird et deux Doodles.
Super Secret Rare (SSR), un projet qui a détecté sa vulnérabilité après qu'Asterisk a été touché, a mis en garde les utilisateurs n'a pas interagi avec le pool tant que la situation n'était pas résolue.
FreeLunchCapital, le développeur derrière les contrats affectés de Flooring, a confirmé que l'exploitation a également touché BitmapPunks, qui utilisait une conception de contrat similaire. Les deux projets s'appuyaient sur des jetons fongibles adossés un pour un aux NFTs verrouillés, les rendant vulnérables au même chemin d'attaque.
Un exploit après l'autre
Les incidents Flooring et Asterix s'ajoutent à une série sinistre de défaillances de sécurité qui traverse le Web3. Comme Cryptopolitan l'a observé dans des rapports antérieurs, les pertes astronomiques en dollars d'avril ont entraîné une augmentation du nombre d'incidents individuels en mai, atteignant 60 incidents de sécurité confirmés totalisant 68,3 millions de dollars de pertes brutes selon Certik. PeckShield a attribué 340,7 millions de dollars de pertes à 14 exploits de ponts et de chaînes croisées au 1er juin.
Les protocoles fourchés présentent leurs propres types de maux de tête. Lorsque des projets en aval copient du code sans l'auditer, une seule vulnérabilité dans la base de code de base peut être répliquée à plusieurs niveaux, tout comme cela s'est produit dans le cas Flooring, Asterix maintenant.
Yuga Labs a déclaré que les NFTs sauvés seront retournés une fois que les développeurs de Flooring Protocol auront terminé un correctif. 0xQuit a mis en garde les utilisateurs contre le dépôt de nouveaux NFTs dans Flooring tant que la vulnérabilité reste ouverte. Pour les détenteurs d'Asterix, la perte de 40 000 $ est de moindre ampleur, mais l'équipe n'a pas encore divulgué si un recouvrement est possible.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
FAQ
Qu'est-ce qu'Asterix et quel est son lien avec Flooring Protocol ?
Asterix est un projet qui a forké son code depuis Flooring Protocol ainsi que le standard de token DN404/BT404. Cette base de code partagée signifiait que la même vulnérabilité exploitée chez Flooring le 8 juin a pu être utilisée contre Asterix le lendemain.
Combien a été perdu et récupéré lors de l'exploit de Flooring Protocol ?
L'impact total de l'exploit sur Flooring a dépassé 900 000 $, les chercheurs « white hat » ayant récupéré environ 500 000 $ en NFTs, dont 29 Bored Apes et deux CryptoPunks.
Quelle est la cause de la vulnérabilité dans Flooring Protocol ?
Selon 0xQuit, VP de la Blockchain chez Yuga Labs, une faille dans le système comptable de Flooring de style BT404 a permis à un ID de token malveillant de passer un contrôle de propriété tout en renvoyant un résultat différent lors des vérifications ultérieures, créant ainsi un état de "propriété fantôme" qui a offert à l'attaquant un solde quasi illimité de tokens de réclamation.
Avertissement. Les informations fournies ne constituent pas des conseils en matière de trading. Cryptopolitan.com décline toute responsabilité concernant les investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement une recherche indépendante et/ou une consultation avec un professionnel qualifié avant de prendre toute décision d'investissement.
Hannah Collymore
Hannah est rédactrice et éditrice avec près de dix ans d'expérience dans la rédaction de blogs et le reporting d'événements dans l'espace crypto. Chez Cryptopolitan, Hannah contribue à la page actualités, en rapportant et en analysant les derniers développements dans les secteurs de la DeFi, des RWA, de la régulation des crypto-monnaies, de l'IA et des technologies de pointe. Elle est diplômée de l'Université Arcadia avec un diplôme en administration des affaires.
