Orange Finance avertit qu'un pirate a compromis tous ses contrats sur Arbitrum

Orange Finance a averti tous ses utilisateurs de ne pas interagir avec ses contrats intelligents sur Arbitrum, car ils ont été compromis par un pirate. L'attaquant a également retiré des fonds de certains des contrats, avec des pertes s'élevant à environ 840 000 $.

Les contrats intelligents d'Orange Finance sur le réseau Arbitrum ont été compromis et des fonds ont été volés. Le projet que quelqu'un avait créé une fausse page sur GitHub qui ressemblait à une offre de téléchargement du populaire modèle d'IA Qwen. La page promettait de manière convaincante une IA entièrement hors ligne qui garderait les données des utilisateurs privées, mais le piège a été révélé par la taille du fichier. ses utilisateurs à vérifier leurs portefeuilles et à révoquer toutes les autorisations pour les contrats intelligents afin d'éviter des pertes. 

L'exploitation arrive après une année d'activité de phishing à son apogée, visant à exploiter les propriétaires de portefeuilles et les équipes de projets via des liens ou des logiciels malveillants. À ce stade, il est incertain comment le pirate a réussi à prendre le contrôle des portefeuilles multisignatures et des contrats, ainsi que des coffres de liquidité.

L'attaquant a réussi à vider les coffres de liquidité pour les tokens et les stablecoins. Plusieurs adresses de coffres ont été vidées, bien que le protocole conserve environ 50 % de sa liquidité.

https://twitter.com/0xOrangeFinance/status/1876975123359572440

Orange Finance enquête toujours sur la nature de l'exploitation

L'attaquant a réussi à prendre le contrôle du portefeuille administrateur d'Orange Finance, modifiant le comportement de tous les contrats intelligents. L'attaquant a probablement exploité une faible sécurité sur le portefeuille multisignature du projet, qui a été négligé malgré les audits de sécurité précédents. 

L'équipe d'Orange Finance a envoyé un on-chain message au pirate, suggérant que les fonds pourraient être rendus en échange de traiter l'accident comme une tentative de white-hat.

Les pertes liées à la prise de contrôle des coffres du projet sont estimées à 840 000 $, bien que le résultat final puisse être plus élevé. Les actifs volés comprenaient des stablecoins et du WETH, et ont tous été convertis en ETH et déjà négociés. 

Orange Finance a fermé son coffre de stablecoins et a averti d'autres adresses potentiellement compromises. Le pirate avait un contrôle total sur les transferts, et il n'y a pas de traces d'utilisation simple de la logique propre du contrat intelligent. 

L'équipe enquête toujours sur l'exploitation et met en garde les utilisateurs de ne pas tenter de retirer la liquidité restante. 

Orange Finance est l'un des protocoles d'agrégation de liquidité les plus utilisés sur Arbitrum. À son apogée, le projet détenait 1.94 M$ en valeur totale bloquée. L'attaque n'a pas complètement vidé tous les coffres, car le protocole conserve environ 731 000 $. 

Arbitrum transporte plus de 980 millions de dollars d'activité de trading DEX, avec des flux de liquidité provenant d'Ethereum. La chaîne L2 est l'un des lieux les plus liquides pour le trading DEX, en raison de l'afflux de stablecoins et des frais de trading extrêmement bas. 

Stryke Protocol également affecté

Le pirate a également exploité les coffres de Stryke Protocol, touchant son marché de fourniture de liquidité. Le projet a affirmé que ses principales fonctionnalités restent sécurisées et non compromises, mais a temporairement arrêté toutes ses activités sur Arbitrum. 

Orange Finance est un protocole partenaire de Stryke, ciblant spécifiquement les activités sur Arbitrum avec une liquidité concentrée. Stryke lui-même n'a pas perdu de fonds directement, en dehors du nombre limité de coffres sur Orange Finance. 

Le plus gros problème des contrats intelligents fermés est que les deux protocoles ont des positions ouvertes, qui pourraient être liquidées en cas de volatilité du marché. Les fournisseurs de liquidité pourraient subir des pertes pour certaines de leurs positions si le protocole reste fermé. Les utilisateurs reçoivent transaction échouée avis car ils sont incapables de sécuriser leurs positions. 

Stryke Protocol détient environ 2,17 M$ de liquidités, ce qui en fait un marché relativement mineur pour les liquidités. Le projet, anciennement connu sous le nom de Dopex, propose des options sur BTC, ETH, ARB et BOOP.

Stryke Protocol, comme Orange Protocol, est encore sans token, avec des points récompensant l'activité. Les protocoles n'ont pas mentionné de date prochaine airdrop, mais peuvent toujours attirer les utilisateurs s'attendant à un token à l'avenir. Heureusement, la faille de sécurité n'a affecté aucun token existant, les pertes de marché étant généralement plus élevées que celles liées à la faille elle-même. 

Les protocoles sont attractifs en offrant des rendements plus élevés en échange de liquidités pour certaines des paires de trading clés. Stryke Protocol et OrangeProtocol stimulent l'activité sur les principales DEX, y compris Uniswap et PancakeSwap, en se concentrant sur certaines des paires les plus actives et liquides. Le protocole a obtenu des paiements extrêmement élevés pour les vaults afin de compenser le risque potentiel. Récemment, certains des vaults ont rapporté plus de 1 020 % annualisés aux fournisseurs de liquidités concentrées.