Les attaquants ont volé 1,4 million de dollars au protocole One Ring via une attaque de prêt flash, a révélé la plateforme de blockchain One Ring Finance.

Les pertes de l’attaque, qui s’est déroulée lundi 21 mars, ont totalisé 2 millions de dollars après les frais d’échange et de prêt flash, a déclaré One Ring, une « plate-forme d’optimisation de rendement multi-chaînes stable ».

Le pirate a emprunté 80 millions de dollars en USDC avec des prêts flash Solidly pour augmenter le prix du sous-jacent Jetons LP dans la travée du bloc, selon un anneau unique autopsie publié le mardi 22 mars.

« Cela a changé le prix d’OShare et a chassé une grande quantité de jetons OShare du protocole. »

L’attaque n’a pas affecté les jetons OneRing (RING), les pools de liquidités ou les « opportunités agricoles dans l’espace Fantom », a déclaré One Ring.

Suivre l’attaque

Le pirate jusqu’ici inconnu, qui s’est emparé de plus de 1,4 million de dollars en stablecoins USDC, a configuré le Contrat utilisé pour l’exploit « pour s’autodétruire à un bloc spécifique, ce qui rend presque impossible de suivre quelles fonctions spécifiques de nos contrats ont été appelées afin de voler les fonds ».

« Nous travaillons déjà avec des fournisseurs de nœuds afin d’obtenir les informations du bloc où le contrat a été déployé », a ajouté One Ring. « Nous pensons que nous pouvons trouver le bytecode, le décompiler et au moins avoir une brève idée de la façon dont ce contrat a été structuré. »

VOUS POURRIEZ AUSSI AIMER Sophos corrige une vulnérabilité d’injection SQL dans l’appliance UTM

L’Ethereum du hacker porte monnaie a été financé par Tornado Cash et les fonds volés ont été transformés selon le même protocole de tumbling, qui obscurcit l’historique des transactions.

Cela a rendu « presque impossible de suivre » la source de financement de l’attaquant ou d’avertir d’autres plateformes des activités de l’attaquant ».

‘Nettoyer tout notre code’

One Ring a déclaré qu’il s’efforçait néanmoins d’identifier l’attaquant, de redémarrer son coffre-fort, de redéployer des contrats intelligents, d’indemniser les victimes et de remédier aux vulnérabilités exploitées par le pirate.

« Nous avons collaboré avec de nombreux développeurs et protocoles qualifiés afin de nettoyer tout notre code », a-t-il déclaré. « C’était complètement inattendu, même pour certains développeurs seniors qui ont déjà examiné notre code. »

One Ring a également proposé au pirate une offre « longshot » de 15 % des fonds volés et d’un million de jetons RING en guise de prime pour la restitution des fonds.

Entreprise de sécurité blockchain CertiK mentionné mardi c’est actuellement audit un autre contrat One Ring et a découvert des vulnérabilités qui pourraient conduire à de nouvelles attaques de prêts flash.

« C’est pourquoi CertiK recommande fortement et souligne l’importance d’obtenir un audit avant le déploiement d’un contrat », a déclaré le PDG et co-fondateur de CertiK, Ronghui Gu.