Harmony Hacker décline l’offre Whitehat de 1 million de dollars et commence à blanchir des fonds volés

À la fin de la semaine dernière, le pont du protocole Harmony vers les réseaux BSC et Ethereum a été exploité, entraînant une perte de 100 millions de dollars d’ETH.

Suite à une déclaration curieusement décevante selon laquelle au moins le pont bitcoin n’a pas été affecté, l’équipe Harmony a annoncé qu’elle travaillait avec « les autorités nationales et les spécialistes légistes » afin de récupérer les fonds volés aux exploiteurs encore non identifiés.

Amélioration de la sécurité multi-signatures

Étant donné que l’exploit a été réalisé en abusant de la faible sécurité du portefeuille multi-signatures d’Harmony, les développeurs du projet ont depuis changé la configuration multi-signatures précédente – nécessitant 2 signatures sur 4 pour traiter une transaction – en 4 sur configuration de 5 signatures.

« Nous avons migré le côté Ethereum du pont Horizon vers un multi-sig 4 sur 5 depuis l’incident. Nous continuerons à prendre des mesures pour renforcer davantage la sécurité de nos opérations et de nos infrastructures. Pour réitérer, nous sommes au milieu d’une enquête en cours. Nous continuerons à tenir tout le monde au courant et nous apprécions votre patience et votre soutien. »

Bien que la vulnérabilité initialement signalée par des chercheurs indépendants en avril n’ait été corrigée qu’après la catastrophe, mieux vaut tard que jamais. L’équipe a également tenté de revenir en arrière sur les échecs passés, proposant d’enterrer la hache de guerre si 99 % des fonds étaient restitués – une proposition généralement accueillie avec humour de potence et dérision générale par la communauté Harmony.

Nous nous engageons à verser une prime de 1 million de dollars pour le retour des fonds du pont Horizon et le partage d’informations sur les exploits.

Contactez-nous à whitehat@harmony.one ou à l’adresse ETH 0xd6ddd996b2d5b7db22306654fd548ba2a58693ac.

Harmony plaidera pour l’absence d’accusations criminelles lorsque les fonds seront restitués.

— Harmony (@harmonyprotocol) 26 juin 2022

Branche d’olivier complètement ignorée

Contrairement à la fin heureuse de la débâcle de l’Optimisme plus tôt ce mois-ci, l’exploiteur d’Harmony n’a pas daigné répondre à l’offre d’une prime d’un million de dollars et a abandonné les charges en échange du retour des ETH restants volés.

Au lieu de cela, l’exploiteur a procédé au blanchiment de l’ETH glissé via TornadoCash, un service souvent utilisé par les cybercriminels afin de dissimuler l’origine des jetons cryptographiques mal engendrés.

#PeckShieldAlert ~18k $ETH (~22m) en 0x1e…6430 des exploiteurs de @harmonyprotocol pic.twitter.com/NN4j5Korsz

— PeckShieldAlert (@PeckShieldAlert) 27 juin 2022

Les actifs volés sont blanchis à travers plusieurs transactions à un taux de 100 ETH environ toutes les 6 minutes. Au moment de la rédaction de cet article, plus de 50 millions de dollars d’ETH ont déjà été acheminés via TornadoCash, ce qui signifie un refus des conditions d’Harmony.

Avec la tentative sincère – bien que décevante – de résoudre le problème à l’amiable qui échoue, Harmony devra s’appuyer sur les spécialistes médico-légaux et les autorités qu’ils ont évoqués au moment de l’attaque.

Cependant, il n’y a aucune garantie qu’ils seront en mesure de résoudre la situation non plus. Si tout le reste échoue, cette série d’événements devrait au moins être une révélation pour les membres de la communauté qui ne prennent peut-être pas suffisamment au sérieux la sécurité de leurs projets.