Le projet DeFi Nexera a subi sa deuxième faille de sécurité en un an

Nexera, un projet DeFi présentant un marché décentralisé, a connu sa deuxième faille de sécurité au cours de l'année passée. L'exploitation a affecté le jeton natif NXRA. 

Nexera a annoncé la deuxième faille de sécurité de son protocole au cours de l'année passée, affectant un contrat intelligent détenant le jeton natif NXRA. Aucun des fonds ne s'est retrouvé sur les échanges, car Nexera a immédiatement suspendu le contrat intelligent du jeton et gelé les actifs. 

La récente faille de sécurité a affecté un total de 47 millions de jetons, l'exploitant ayant réussi à vendre une partie des fonds. Plus tard, 32,5 millions de NXRA ont été gelés dans le portefeuille du pirate et détruits. Initialement, l'exploitation a été signalée par les chercheurs on-chain de Cyvers Alert. Ils que quelqu'un avait créé une fausse page sur GitHub qui ressemblait à une offre de téléchargement du populaire modèle d'IA Qwen. La page promettait de manière convaincante une IA entièrement hors ligne qui garderait les données des utilisateurs privées, mais le piège a été révélé par la taille du fichier. ont informé Nexera qu'un exploiteur avait modifié son contrat proxy et déplaçait et pontait des jetons. 

Nexera a affirmé que son contrat intelligent principal est solide et que le jeton NXRA continuera d'utiliser la même adresse. Plus tard, l'équipe du projet a émis un avertissement à tous les détenteurs pour qu'ils désactivent les approbations de tout contrat intelligent Nexera depuis leurs portefeuilles. Le mettant en garde avis de révocation de l'accès aux contrats Nexera est arrivé plus de 24 heures après la faille de sécurité initiale. Révoquer l'accès au contrat doit être fait manuellement, dès que possible, avant d'encourir des pertes supplémentaires. Selon Etherscan, 23,083 détenteurs pourrait être affecté.

Les estimations des pertes varient entre 440 000 et 1,5 million de dollars. NXRA a des volumes de trading limités et repose principalement sur l'activité DEX. La faille de sécurité a ajouté de la pression sur le jeton natif, faisant chuter le prix à 0,018 dollar avant de se redresser à 0,03 dollar. Depuis l'exploitation, le trading de NXRA a été arrêté, en attente de clarifications supplémentaires sur les risques actifs. Le rapport complet sur l'exploitation pourrait prendre quelques jours, tandis que NXRA restera gelé pendant quelques jours.

L'exploitant a réussi à exploiter un contrat intelligent proxy avec une réserve de jetons, vidant les actifs disponibles. Les 47 millions de NXRA constituent une petite partie de l'offre totale de 850 millions de jetons. Cependant, une partie des actifs a été vendue rapidement contre de l'ETH, puis convertie en jetons sur Binance Smart Chain. La partie des jetons vendus avec succès est estimée à 440 000 dollars.

Annonce

L'équipe enquête sur une exploitation impliquant des contrats intelligents contenant des jetons NXRA.

Bien que nous soyons encore en train de finaliser nos conclusions, il y a déjà quelques éléments que nous pouvons partager :
1️⃣ Le $NXRA contrat de jeton a déjà été mis en pause. Le trading est arrêté sur…

— Nexera (@Nexera_Official) le 7 août 2024

Nexera reprendra son activité après la deuxième faille de sécurité

L'ampleur de la faille de sécurité de Nexera est relativement petite par rapport aux autres exploitations Web3. Le protocole lui-même n'a pas été directement ciblé, mais l'exploitant a essayé d'exploiter une collection de projets dans un contrat intelligent de staking. 

Ce qui a attiré l'attention sur la faille de sécurité, c'est le fait que Nexera avait fait face à une situation similaire auparavant. La même équipe dirigeait Alliance Block (ALBT), qui a perdu 5 millions de dollars de jetons sur un contrat intelligent de staking au début de 2023.

L'exploitant a réussi à retirer 112 millions d'ALBT d'un protocole de prêt Bonq, ainsi que 500 000 jetons Binq euro (BEUR). Le prix du jeton ALBT s'est effondré après la faille de sécurité, l'exploitant ayant déplacé les fonds de Polygon vers Ethereum dans l'intention de les vendre. 

Après cette faille de sécurité, Nexera a changé de nom et a émis un nouveau jeton et ticker. Cette fois, l'actif restera, malgré l'attaque directe. 

Nexera a suscité des soupçons de travail interne potentiel, ou même d'une attaque délibérée par des pirates infiltrés au sein de l'équipe. Le chercheur et analyste on-chain @ZachXBT croit que l'attaque de Nexera pourrait faire partie d'une tendance plus large où les pirates rejoignent des entreprises crypto, ou injectent des logiciels malveillants lors d'entretiens. Les chercheurs relient le groupe de pirates à la Corée du Nord, avec pour objectif de soutirer des jetons précieux et de les échanger contre de l'ETH pour les mélanger et les trader ultérieurement. 

La présence de valeur verrouillée et de collatéral augmente les dégâts des attaques contre les projets Web3. Alors que la DeFi a connu un renouveau en 2024, les attaques se sont également accélérées. En juillet, plusieurs grandes exploitations ont affecté WazirX, Compound, LiFi et d'autres plateformes. 

Dans le cas de Nexera, les pertes directes étaient faibles, mais la perte de valeur et de réputation a nui à de nombreux détenteurs. Il y a même eu des doutes selon lesquels la faille de sécurité de Nexera était l'œuvre d'insiders, visant à générer des conditions pour un rachat de jetons. Actuellement, les propriétaires de NXRA essaient encore de voir si leurs fonds seraient débloqués et si les contrats intelligents du projet sont jugés sûrs à nouveau. 

Article de Cryptopolitan par Hristina Vasileva