Le bot Maestro Telegram a été piraté : 280 ETH volés en raison d'une faille dans le contrat intelligent

Des pirates ont récemment exploité une vulnérabilité de contrat intelligent dans le bot de trading Telegram Maestro, entraînant le vol de 280 Ethereum (ETH), équivalant à environ 500 000 $. L'attaque a ciblé une faille d'appel externe au sein du contrat intelligent Maestro Router 2, comme détaillé par la société de sécurité blockchain Beosin sur Twitter. Les auteurs ont manipulé la fonction de transfert du contrat, détournant efficacement les jetons des utilisateurs vers leurs portefeuilles.

De plus, les répercussions de l'incident se sont étendues à une importante opération de phishing, compromettant 37 millions de jetons JOE. L'information, relayée par l'autorité d'analyse blockchain PeckShield, a mis en lumière la gravité de la brèche de sécurité. Le marché du jeton JOE a réagi promptement, chutant de plus de 30 %, exacerbant la situation en raison de l'incapacité de Maestro à se procurer des jetons JOE pour le remboursement des utilisateurs en raison de contraintes de liquidité.

Cependant, au milieu du tumulte, les pirates ont opté pour une couche supplémentaire d'anonymat en transférant l'ETH volé vers Railgun, un outil de confidentialité dans le domaine des cryptomonnaies connu pour obscurcir les détails des transactions.

Réagissant rapidement, l'équipe de Maestro a initié des mesures correctives, renforçant leurs systèmes contre de telles vulnérabilités. Ils ont assuré aux utilisateurs, via des communications sur Twitter, que le routeur mis à jour était désormais sécurisé contre les exploitations. Cependant, ils ont également temporairement suspendu les activités de trading impliquant des jetons regroupés sur plusieurs autres plateformes d'échange, y compris SushiSwap, ShibaSwap et ETH PancakeSwap.

Dans un geste encourageant, Maestro a pris la responsabilité de rembourser les parties affectées. Ils ont choisi d'acheter les jetons réels pour garantir un remboursement équitable et complet plutôt que de simplement transférer de l'ETH aux victimes. Cette décision a couvert la plupart des jetons impactés, marquant un engagement envers une résolution équitable.

Malgré les actions correctives rapides, cet incident souligne les risques inhérents aux bots de trading qui nécessitent que les utilisateurs cèdent leurs clés privées. De telles pratiques contredisent fortement l'adage de la finance décentralisée – « pas vos clés, pas vos pièces ». Cela signifie un compromis entre les profits potentiels et le péril d'exposer ses clés privées, l'équivalent cryptographique de remettre les clés de son coffre-fort.

Bien que confiné au composant routeur et ne compromettant pas les identifiants du portefeuille, l'exploitation a provoqué une vague de prudence au sein de la communauté crypto. C'est un rappel saisissant des vulnérabilités cachées au sein de systèmes complexes et de la vigilance constante nécessaire pour protéger les actifs numériques.