Trois protocoles DeFi piratés en une journée : plus de 35 millions de dollars dérobés

Trois grands protocoles DeFi ont été piratés en l’espace de 24 heures. AFX Trade, BSquaredNetwork et Verus ont perdu au total plus de 35 millions de dollars en cryptomonnaies.

L’attaque contre AFX Trade est la plus marquante, mais les autres incidents rappellent eux aussi la vulnérabilité des systèmes chargés de transférer des cryptomonnaies entre différentes blockchains. Fait notable, Verus a été victime pour la deuxième fois en peu de temps d’un piratage presque identique.

Le piratage coûte plus de 24 millions de dollars à AFX Trade

La société de sécurité blockchain PeckShieldAlert a été la première à donner l’alerte concernant l’attaque visant AFX Trade, un protocole déployé sur le réseau Arbitrum. Selon l’entreprise, les pirates ont dérobé environ 24,15 millions de dollars en USDC.

Les cryptoactifs volés ont ensuite été transférés d’Arbitrum vers Ethereum, puis convertis en 12 467,5 Ethereum (ETH). En convertissant et en déplaçant les fonds, les attaquants ont rendu le suivi des flux financiers plus difficile.

Steven Goldfeder, d’Arbitrum, a souligné que le système touché n’était pas administré par Arbitrum. Selon lui, la responsabilité de la sécurité incombait entièrement à AFX Trade.

BSquaredNetwork et Verus également touchés

Moins d’une heure après le premier piratage, PeckShieldAlert a signalé un deuxième incident. Cette fois, BSquaredNetwork était visé.

Selon la société de sécurité, les pirates ont dérobé 8,59 millions de tokens B2 sur la BNB Chain, pour une valeur estimée à 3,86 millions de dollars. Les tokens ont presque aussitôt été échangés contre plus de 5 000 Wrapped BNB (WBNB). Les fonds ont ensuite été convertis en 1 128 ETH, puis transférés via NEAR Intents.

L’attaque n’a pas été sans conséquence pour les investisseurs. Le token B2 a perdu plus de 15 % de sa valeur peu après l’incident.

Verus a également été piraté au cours des mêmes 24 heures. Selon la plateforme d’analyse blockchain Lookonchain, les attaquants ont dérobé environ 7,55 millions de dollars en exploitant une faille dans le système de transfert de cryptoactifs entre différentes blockchains.

Cet incident est d’autant plus notable que Verus avait déjà perdu plus de 11,5 millions de dollars il y a environ deux mois lors d’une attaque similaire. Selon la société de sécurité Blockaid, les deux piratages présentent de fortes similitudes. La même infrastructure, le même mode opératoire et vraisemblablement la même faille semblent avoir été exploités à nouveau. Cela laisse penser que les vulnérabilités identifiées précédemment n’ont peut-être jamais été entièrement corrigées.

La sécurité d’AFX Trade vivement critiquée

Après l’attaque contre AFX Trade, l’approche du protocole en matière de sécurité a elle aussi été mise en cause. Taylor Monahan, spécialiste de la sécurité on-chain, s’est publiquement interrogée sur la présence de plus de 24 millions de dollars dans le système compromis.

Après avoir examiné un audit récemment publié, elle a conclu à l’existence de plusieurs lacunes préoccupantes. Selon Monahan, le système n’a été que très peu testé avant son lancement. Plusieurs problèmes signalés par les auditeurs auraient par ailleurs été reconnus, sans jamais être corrigés. Les auditeurs n’auraient en outre eu accès qu’à une partie du code source, rendant impossible une évaluation complète.

Monahan a réagi avec ironie à la situation :

Honnêtement, ils ont l’air d’une équipe super détendue. Bon, ça devrait aller, on attend et on l’enverra manuellement si nécessaire.

Selon elle, ces faiblesses techniques traduisent une culture plus large dans laquelle la sécurité n’a pas reçu la priorité nécessaire. Une situation qui, d’après Monahan, accroît le risque de piratages de grande ampleur, à l’image des trois attaques qui ont frappé le secteur de la DeFi en une seule journée.