La populaire plateforme DeFi Sturdy Finance piratée, perdant 800,000

Sturdy Finance, un protocole de prêt décentralisé, a subi une importante brèche de sécurité aujourd’hui, entraînant une perte de 442 ether, équivalant à environ 800 000 dollars. L’attaque a été menée par une personne inconnue qui a exploité une vulnérabilité de réentrance au sein du système, lui permettant de manipuler un oracle de prix défectueux et de soutirer des fonds.

Dans les applications de finance décentralisée (DeFi) comme Sturdy Finance, les oracles de prix jouent un rôle crucial en fournissant des données de prix du monde réel. Cependant, ils peuvent également servir de cible privilégiée pour les pirates cherchant à exploiter les vulnérabilités et compromettre la sécurité de la plateforme.

L’attaque contre Sturdy Finance a commencé par une attaque par réentrance, une méthode couramment utilisée pour retirer frauduleusement des fonds des protocoles DeFi. Ce type d’attaque profite de la capacité d’appeler une fonction à plusieurs reprises au sein d’une seule transaction avant que l’appel de fonction original ne soit terminé. En exploitant cette faille, l’attaquant a pu retirer plus de fonds qu’il n’y avait légitimement droit.

Brèche de sécurité chez Sturdy Finance

Une fois que l’attaquant a pris le contrôle des appels de fonction, il a procédé à l’exploitation de l’oracle de prix. Sturdy Finance s’appuyait sur un contrat intelligent « en lecture seule » distinct pour dériver son oracle de prix, qui était responsable de déterminer avec précision la valeur marchande des actifs dans un pool de liquidité géré par le protocole sur la plateforme d’échange décentralisée Balancer. Cependant, l’attaquant a réussi à manipuler l’oracle, lui permettant de vider les fonds de Sturdy Finance.

BlockSec, une firme de sécurité, a identifié la cause racine de la brèche comme étant la vulnérabilité typique de réentrance dans le système de Balancer, combinée à la manipulation du prix du B-stETH-STABLE.

En réponse à l’attaque, Sturdy Finance a pris des mesures immédiates en suspendant tous ses marchés pour prévenir d’autres pertes potentielles. L’équipe a assuré aux utilisateurs qu’aucun fonds supplémentaire n’était en danger et qu’aucune action immédiate n’était requise de leur part. Ils se sont engagés à fournir plus d’informations dès qu’elles seraient disponibles.

Après l’attaque, les données on-chain ont révélé que l’attaquant a utilisé le mélangeur Tornado Cash pour obscurcir ses activités. Ce mélangeur est un outil utilisé pour améliorer la confidentialité et rendre difficile le suivi des transactions sur la blockchain.

L’incident met en lumière les défis et les risques continus associés à la finance décentralisée et l’importance de mesures de sécurité robustes. La réponse rapide de Sturdy Finance en suspendant les marchés démontre son engagement à protéger les fonds des utilisateurs et à atténuer les pertes potentielles. À mesure que l’enquête se poursuit, il est espéré que de nouvelles informations seront obtenues pour prévenir des attaques similaires à l’avenir et renforcer la sécurité globale des protocoles de prêt décentralisés.