Kiloex Dex a piraté par «Price Oracle Exploit» pour 7,5 millions de dollars

Kiloex, un échange décentralisé (DEX) construit sur la chaîne BNB, a subi une attaque de 7,5 millions de dollars et a suspendu les opérations. Les analystes de sécurité décrivent le hack comme un «prix Oracle Exploit». Binance Labs a financé le DEX dans le cadre de son programme pour soutenir les projets Binance Coin (BNB). Kiloex a isolé l’exploit et essaie maintenant de retrouver les fonds et de récupérer les jetons volés pour ses utilisateurs.

Le pirat a affecté plusieurs jetons car la plate-forme a une conception multi-chaînes, y compris la chaîne intelligente BNB, le taiko et la base. L’attaquant a utilisé une adresse avec des fonds provenant de Tornado Cash, amenant certains commentateurs à croire que les pirates nord-coréens pourraient être à l’origine de l’attaque en raison de leur propension à utiliser des mélangeurs dans le cadre de leurs attaques. L’attaquant a utilisé Metamask pour transférer les fonds. Pour une raison quelconque, le pirate n’a pas ciblé Ethereum, mais s’est plutôt concentré sur le retrait des stablecoins. Les fonds volés étaient assis dans des portefeuilles séparés sans indiquer que de l’argent de la tornade était utilisé pour masquer les jetons.

Chaofan Shou, co-fondateur de Fuzzland, a déclaré que l’attaque était probablement le résultat d’un problème d’oracle de prix parce que n’importe qui peut changer le prix Oracle de Kiloex. Selon Shou, il y a un processus de transmission de confiance, mais il n’y a aucune vérification une fois l’attaquant terminé. Shou a conclu que l’exploit était un processus très simple et, par conséquent, aurait pu être empêché.

Kiloex a rapidement isolé l’attaque et suspendu sa plate-forme. Il a contacté d’autres sociétés de sécurité pour aider à suivre les fonds. Kiloex a développé une nouvelle approche pour faire face à la violation, récompensant quiconque les a aidés à récupérer les fonds volés. Pour empêcher ce type d’attaque, Kiloex vise à créer un rapport final décrivant ce qui n’a pas fonctionné.

Les utilisateurs

Kiloex ont principalement stocké leurs jetons dans le coffre-fort Kiloex, qui se trouvait juste la principale cible des intrus, provoquant des pertes maximales pour les utilisateurs. Kiloex a ensuite partagé l’adresse de l’attaquant afin que d’autres plates-formes puissent empêcher les pirates de retirer les fonds volés. Les adresses de liste noire sont devenues la dernière stratégie pour les plateformes afin d’empêcher l’argent volé de pénétrer dans l’économie plus large.

Kiloex existe depuis 2023 et a récemment commencé à étendre ses opérations. Le DEX a introduit plus de jetons MEME basés sur BNB pour les utilisateurs à échanger. Malgré la récente attaque, le DEX a encore environ 47,2 millions de dollars de valeur totale. Au cours du dernier jour, Kiloex avait 31,8 millions de dollars d’activité, avec 22 millions de dollars investis dans le trading BTC-USDT.

Les oracles de prix servent de passerelle entre le dex et le monde extérieur. Dans le cas de Kiloex, ils saisissent le prix des jetons comme Bitcoin ou Ethereum et utilisent les données pour décider du montant d’argent gagné. Le prix Oracles peut donc être ciblé par les pirates car le prix pourrait théoriquement être modifié au profit de l’attaquant. C’est ainsi que l’attaque de Kiloex s’est produite, l’attaquant manipulant l’oracle de prix afin que l’échange ait payé de manière disproportionnée une récompense. Selon l’historique des transactions, l’attaquant a très probablement fixé le prix Ethereum à 100 $, puis a changé le prix à 10 000 $, réalisant un profit important et retirant tout l’argent supplémentaire. Les utilisateurs de Kiloex, quant à eux, ont perdu tous leurs jetons durement gagnés en quelques minutes.

Kiloex a commencé ses opérations, car les DEX perpétuels sont devenus populaires, avec le potentiel de l’auto-cuir et plus de contrôle sur vos fonds. Kiloex installe tous les métiers en chaîne, ce qui signifie que vous avez vos fonds immédiatement. Cependant, dans le cas de l’attaquant, la possibilité de verrouiller les transactions a permis aux fonds volés de se verrouiller, immuables, de voler à jamais et de légitimer par des activités en chaîne. Kiloex, étant un dex, n’a offert aucun service KYC, permettant des transactions anonymes.