Un hacker tente de voler 27 millions de dollars chez Meta Pool, mais échoue

Un hacker a tenté de dérober près de 27 millions de dollars en tokens via une vulnérabilité dans le protocole de liquid staking Meta Pool. Grâce à une faible liquidité et une réaction rapide de l’équipe, les dommages réels ont été limités à environ 132 000 dollars.

Bug dans la fonction unstake conduit à une attaque de plusieurs millions

L’attaque a été réalisée via une erreur dans la fonctionnalité Flash Unstake de Meta Pool. Normalement, les utilisateurs doivent passer par un délai d’attente pour unstake leur Ethereum (ETH), mais cette fonction offre un chemin plus rapide si certaines conditions sont remplies.

Par ce moyen, l’attaquant a réussi à mint 9 705 tokens MPeth, d’une valeur théorique de 27 millions de dollars. Selon la société de sécurité PeckShield, la cause était un « bug critique » dans la fonction ERC4626-mint() du contrat intelligent. Néanmoins, le hacker n’a pu liquider que 52,5 ETH, ce qui équivaut à environ 132 000 dollars.

L’équipe de Meta Pool intervient immédiatement

L’attaque a été détectée tôt grâce aux systèmes de détection de Meta Pool. Le contrat intelligent a été immédiatement mis en pause, ce qui a permis de prévenir d’autres dommages. Plusieurs pools d’échange sur Ethereum et Optimism ont été affectés, mais en raison des faibles volumes, l’impact est resté limité.

La plateforme souligne que l’Ethereum déployé est totalement sécurisé et continue de générer des rendements. « Tout l’ETH déployé est toujours délégué aux opérateurs du réseau SSV et génère des récompenses comme prévu, » selon Meta Pool.

Plan de rétablissement à venir, les tokens restent gelés

Meta Pool travaille sur un rapport complet post-mortem et un plan de rétablissement qui apparaîtra dans deux jours. Jusqu’à ce moment, le contrat pour MPeth reste gelé. Tous les utilisateurs affectés seront entièrement compensés selon la plateforme.

De plus en plus d’attaques sur les plateformes DeFi

Le hack chez Meta Pool s’inscrit dans une tendance plus large. Début juin, le protocole basé sur Bitcoin, Alex Protocol, a été touché par une vulnérabilité, avec 8,3 millions de dollars dérobés. Également, Bitopro, une bourse taïwanaise, a perdu plus de 11 millions de dollars le 8 mai à cause d’un hack sur des hot wallets.

La série d’attaques montre que la sécurité reste un point faible dans l’industrie de la crypto – surtout chez les protocoles avec des fonctionnalités complexes comme le unstaking rapide.