3 millions de dollars perdus en raison de l’exploitation d’une plate-forme de négociation décentralisée basée sur Algorand

Tinyman a parlé de la dernière attaque qui a commencé le 1er janvier. Quelques « utilisateurs non autorisés » ont violé certains des pools du protocole après avoir compromis une vulnérabilité jusque-là inconnue sur ses contrats intelligents.

Tinyman compromis

Selon le billet de blog officiel, l’attaque a entraîné une fuite de certains ASA dans les premières heures. Ceci, à son tour, a induit une volatilité massive. Tinyman a révélé que le piratage avait activé leurs adresses de portefeuille et déposé un fonds d’amorçage pour la violation. Pour exécuter l’attaque, les auteurs ont essentiellement ciblé les pools et ont commencé à échanger une partie de leurs fonds et à créer des jetons de pool.

Il s’agissait d’un bogue inconnu dans la gravure de jetons de pool que les auteurs auraient exploité et auraient réussi à acquérir « deux des mêmes actifs au lieu de deux actifs différents. »

Selon la plate-forme, cela était favorable pour les auteurs, car l’« actif gobtc » était nettement plus précieux que le jeton natif ALGO d’Algorand. Ils ont immédiatement échangé contre lui pour amasser plus de fonds et poursuivre l’exploit.

Tinyman a allégué que les attaquants ont également échangé des pools avec des pièces stables pour tirer le plus de valeur et retirer ces actifs vers d’autres portefeuilles en chaîne et des échanges de crypto-monnaie centralisés connus.

L’attaque continue

Tout en s’excusant pour l’ensemble de l’événement, Tinyman a assuré que tous les utilisateurs concernés seront remboursés et que l’équipe travaille actuellement sur des plans de compensation. Cependant, il a également mentionné qu’ils ne pouvaient entraver aucun type de transaction sur la blockchain en raison de la nature sans autorisation des contrats.

Dans le but de contrôler l’intensité des dégâts, Tinyman a exhorté les fournisseurs de liquidités à retirer toutes leurs liquidités de tous les contrats liés au protocole. En plus de cela, toutes les routes de liquidité dans l’application Web ont été bloquées et remplacées par des panneaux d’avertissement pour protéger la communauté.

Toute perte de fonds après les prochaines 24 heures (9h UTC le 4 janvier) sera à la charge des utilisateurs car nous ne pouvons rien faire pour arrêter cet événement, la responsabilité des actifs restants est entre les mains des propriétaires de portefeuille.

— Tinyman (@tinymanorg) 3 janvier 2022

Dans un autre tweet récent, la plateforme a informé ses utilisateurs que l’exploit sur les pools se poursuivait. De plus, environ 2 millions de dollars de divers actifs numériques dans les pools sont toujours restés bloqués. Tinyman a de nouveau conseillé à tout le monde de retirer ses liquidités dès que possible. Il a également averti que toute perte de fonds après 9 h UTC le 4 janvier sera la responsabilité de l’utilisateur.