Le protocole LI.FI perd $10M lors d'une deuxième attaque en raison du même vieux bug
- LI.FI a été exploité pour environ $10 millions en stablecoins.
- L'équipe a indiqué que seuls les utilisateurs ayant configuré des "approbations infinies" ont été touchés.
- Peckshield allègue que LI.FI a été exploité en 2022 via le même bug.
Le protocole de trading inter-chaînes LI.FI a été touché par « une attaque par injection d'appel », a rapporté la plateforme de sécurité Beosin Alert mardi. Environ 10 millions de dollars d'actifs cryptographiques, dont 6,3 millions de USDT, 3,2 millions de USDC et 169 000 DAI, ont été volés au protocole.
À lire également : Kraken révèle un bug permettant à des « chercheurs en sécurité » malveillants d'exploiter 3 millions de dollars
Philipp Zentner, co-fondateur de LI.FI, a confirmé l'incident sur X (anciennement Twitter), notant que seuls les utilisateurs ayant défini manuellement des « approbations infinies » étaient affectés. « Veuillez ne pas interagir avec aucune application alimentée par LI.FI pour le moment. Nous enquêtons sur une exploitation potentielle », a écrit Zentner.
LI.FI aurait été piraté via le même vieux bug
La vulnérabilité a été tracée jusqu'à la fonction « depositToGasZipERC20() » du contrat LI.FI. Selon l'analyse de Beosin, la fonction peut échanger des tokens spécifiés contre des tokens de la plateforme et les déposer dans le contrat GasZip, mais elle ne parvient pas à restreindre les données pour l'appel d'invocation, ce qui permet à l'attaquant de retirer des actifs des utilisateurs qui ont approuvé le contrat.
Par ailleurs, une autre plateforme de sécurité, Peckshield, a signalé que LI.FI avait également été exploité il y a deux ans en raison de la même vulnérabilité. « Tout en analysant l'attaque d'aujourd'hui sur le protocole LI.FI, nous avons remarqué une attaque antérieure sur le même protocole le 20 mars 2022 », a publié Peckshield sur X. « Le bug est essentiellement le même. »
En analysant la faille de @lifiprotocol d'aujourd'hui, nous remarquons une précédente faille sur le même protocole le 20 mars 2022.
Le bug est essentiellement le même. https://t.co/YcuEe4efOT
Apprenons-nous quelque chose de la leçon du passé ? https://t.co/nV4IuX7T7j pic.twitter.com/aVB6FQ3MnT
— PeckShield Inc. (@peckshield) Juillet 16, 2024
Lors de l'attaque de 2022 sur le protocole LI.FI, environ 600 000 dollars d'actifs ont été volés et drainés du protocole, affectant 29 portefeuilles. L'équipe a déclaré dans un rapport post-mortem que le bug avait été corrigé et que tous les utilisateurs affectés avaient été remboursés.
À lire également : 2024 voit près de $1.4 milliards de vols de cryptomonnaies jusqu'à présent
À ce jour, il n'y a aucune discussion sur le remboursement des utilisateurs affectés par la dernière attaque, du moins au moment de la rédaction de cet article. Cependant, LI.FI a publié qu'ils enquêtaient sur l'exploitation et a conseillé aux utilisateurs de ne pas interagir avec aucune application alimentée par LI.FI en attendant.
L'incident d'aujourd'hui survient un peu plus d'un an après que LI.FI a levé 17,5 millions de dollars dans le cadre d'un tour de table de série A pour permettre aux utilisateurs DeFi de trader sur différentes blockchains, plateformes et ponts. Il prétend avoir facilité plus de 10 milliards de dollars de volume de transfert total.
Si vous lisez ceci, vous êtes déjà en avance. Restez ainsi grâce à notre newsletter.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Ibiam Wayas
Ibiam Wayas couvre l'actualité des cryptomonnaies depuis 2019. Il a étudié l'informatique à l'Université ouverte du Nigeria. Ses travaux ont été publiés sur diverses plateformes d'actualités cryptographiques, dont Coinfomania, Crypto News Australia et AltcoinBuzz. Fort de son background en informatique, il se concentre désormais sur les actualités liées aux cryptomonnaies, à la robotique et à la longévité.
