La banque DeFi stablecoin Infini subit une exploitation de 49 M$ après que l'attaquant ait conservé un contrôle de niveau administrateur
- Infini, une néobanque crypto, a été piratée par un ancien ingénieur embauché pour créer un contrat intelligent.
- Le cofondateur du projet a pris la responsabilité de ne pas avoir sécurisé l'accès.
- Les fonds d'Infini ont été échangés contre du DAI, puis de l'ETH, et répartis sur plusieurs adresses, à l'instar du récent piratage de Bybit.
Un hacker a vidé plus de 49 M$ en USDC de la banque stablecoin Infini. L'exploitation pourrait être due à un accès interne à un contrat intelligent, où le développeur a conservé l'accès après la livraison à Infini.
L'accès administrateur à un contrat intelligent a permis à un exploiteur de vider 49 M$ du protocole Infini, une banque DeFi stablecoin. Infini n'a pas encore réagi à l'exploitation ni expliqué la nature du piratage. Infini est un émetteur de cartes crypto, acceptant des garanties en stablecoins pour effectuer des paiements quotidiens.
Infini a présenté ses services de paiement comme ceux d'une néobanque, mélangeant crypto-actifs et finance traditionnelle. Le produit a attiré 500 % d'utilisateurs en plus au cours des dernières semaines, suite au lancement de ses campagnes de cartes. La néobanque propose également des produits à rendement élevé, entraînant une augmentation de la liquidité disponible pour l'exploiteur.
Ce sont précisément les produits à rendement qui ont créé les conditions de l'exploitation, car les fonds auraient été pris extraits du Morpho MEV Capital Usual USDC Vault. Morpho n'a émis aucun avertissement ni signalé de fonds perdus.
L'exploitation a été détectée après qu'un whale apparemment, normal
🚨ALERTE🚨Aujourd'hui, @0xinfini a subi une exploitation de 49 M$ USDC en raison d'un attaquant abusant de privilèges administratifs conservés.
L'attaquant, opérant depuis 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, avait initialement développé le contrat dans le cadre du projet Infini. Cependant, après… pic.twitter.com/olguOyNCJr
— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) février 24, 2025
a retiré tous les fonds verrouillés dans le contrat. Le portefeuille de l'attaquant était connu d'Infini, car le projet aurait demandé à l'exploiteur de créer le smart contract. Ignorant cela, l'attaquant a conservé les droits d'administrateur et a pu exécuter l'appel pour vider toute la liquidité.
Par la suite, l'attaquant a fractionné les fonds en sommes plus petites et sur plusieurs adresses. L'exploiteur a utilisé un nouveau portefeuille pour envoyer une petite quantité d'ETH afin de couvrir les frais de gaz et finaliser la transaction. Le financement initial du portefeuille provenait de Tornado Cash, masquant ainsi une partie de la présence sur la chaîne du hacker.
Après cela, les ETH ont été transférés via une série de transactions. Au moment de la rédaction, les fonds n'étaient toujours pas mélangés.
Les hackers de la RPDC ont-ils encore frappé ?
L'identité du créateur du contrat reste inconnue, car Infini n'a pas révélé qui avait été chargé de développer le contrat intelligent.
Le piratage d'Infini fait suite au plus grand exploit de 2025, où le l'échange Bybit a perdu jusqu'à 1,5 milliard de dollars en Ethereum (ETH). Le pirate de Bybit a adopté une approche similaire consistant à fractionner les ETH avant de les mélanger. L'enquêteur sur la chaîne ZachXBT a souligné plusieurs exemples montrant que cette méthode est l'une des signatures du groupe Lazarus. Pour l'instant, Infini n'a relié aucun des portefeuilles de l'exploiteur à d'autres adresses connues du groupe Lazarus.
Cette fois, aucune clé privée n'a été compromise, et Infini n'a pas interrompu les retraits ni les dépôts.
Le fondateur d'Infini, @christianeth, a pris l'entière responsabilité de l'exploitation, déclarant avoir été négligent dans le processus de transfert d'autorité du développeur vers le projet. Le fondateur a rassuré les utilisateurs en indiquant que le protocole reste liquide et qu'une compensation intégrale sera versée dans le pire des cas.
“Ma clé privée personnelle n'a pas été divulguée, donc il n'y a pas de quoi trop s'inquiéter. J'ai fait preuve de négligence lors du transfert des droits auparavant. C'est finalement ma responsabilité. Cela a sonné l'alarme… Il n'y a aucun problème de liquidité. Une compensation intégrale peut être versée et les fonds sont en cours de traçage. a écrit @christianeth sur X.
D'autres analyses on-chain indiquent une fuite potentielle de clé privée, ce qui a permis au pirate d'accéder au contrat. PeckShield a noté que l'ingénieur devenu hacker a été identifié. Après l'attaque, l'un des cofondateurs d'Infini, @0xsexybanana, a supprimé son compte X. Le vol actuel est un attaque présumée par un initié, car l'ingénieur était suffisamment en confiance pour créer un contrat intelligent.
Les récentes exploitations et l'accumulation d'ETH ont soulevé la question de l'utilisation de la chaîne pour le blanchiment d'argent et potentiellement pour le financement de régimes hostiles. Parallèlement, ces exploitations ont catalysé une petite hausse d'ETH, où l'actif a dépassé 2 800 $ pour la première fois depuis plusieurs semaines. Les pertes en ETH ont obligé les plateformes d'échange à reconstituer leurs réserves, entraînant une demande supplémentaire.
Ne vous contentez pas de lire les actualités crypto. Comprenez-les. Abonnez-vous à notre newsletter. C'est gratuit.
Avertissement. Les informations fournies ne constituent pas des conseils en matière d'investissement. Cryptopolitan.com ne saurait être tenue responsable des investissements réalisés sur la base des informations fournies sur cette page. Nous recommandons vivement de mener vos propres recherches et/ou de consulter un professionnel qualifié avant de prendre toute décision d'investissement.
Hristina Vasileva
Hristina Vasileva se spécialise dans les actualités liées à la DeFi, aux entreprises et à l'économie. Elle est diplômée de l'Université de Sofia avec un master en philosophie, après avoir obtenu une licence de quatre ans en administration des affaires, journalisme et communication de masse. Elle a travaillé pour l'un des principaux journaux du pays, couvrant les matières premières et les résultats d'entreprises. Actuellement, Hristina est auteure contributrice chez Cryptopolitan.
