La plate-forme NFT OMNI touchée par l’exploit de réentrée, a perdu 1,4 million de dollars en ETH

OMNI – une plate-forme de financement NFT qui prête de la crypto-monnaie en échange de NFT jalonnés – a été victime d’un exploit de réentrée qui a entraîné la perte de près de 1 300 ETH, d’une valeur de 1,4 million de dollars à l’époque.

Cela semble être un hack lié à la réentrance. @ParallelFi @OMNI_xyz Les fonds volés ont juste été mélangés via @TornadoCash https://t.co/Nyunlkk3rr pic.twitter.com/XxxVyX80Fq

— PeckShield Inc. (@peckshield) 10 juillet 2022

Créances irrécouvrables dues à un mauvais code

Le projet en question a perdu les fonds suite à un jalonnement de mauvaise foi de NFT de la collection Doodle. Afin de mener à bien l’attaque, l’auteur a d’abord déposé des Doodles en garantie d’un prêt d’ETH emballé (wETH). Une fois le prêt garanti, l’exploiteur a pu retirer tous les Doodles sauf un, provoquant une fonction de rappel qui a annulé la dette acquise en achetant wETH.

Une fois ces deux étapes franchies, le Doodle restant sur la plateforme ne suffisait plus à couvrir la dette contractée. La position a ensuite été liquidée par le système, renvoyant également le dernier des Doodles à l’attaquant.

Pas de chance pour un appel White Hat

À la suite des récentes attaques contre DeFi, les développeurs récemment exploités ont souvent lancé des appels ouverts à ceux qui sont à l’origine du piratage, leur proposant de les considérer comme un événement chapeau blanc en échange de la plupart ou de la totalité des fonds volés.

Dans certains cas, cela a bien fonctionné – l’exploiteur d’Optimism, par exemple, a rendu la plupart des fonds après avoir demandé conseil à Vitalik Buterin. Les développeurs d’Harmony ont récemment essayé la même approche, mais ont été sommairement ignorés lorsque le blanchiment des jetons volés a commencé.

Dans ce cas, l’appel n’a jamais eu la chance d’être fait, car l’attaquant a immédiatement envoyé son wETH nouvellement approprié à Tornado, un service de mixage qui masque l’origine des fonds. En raison de cette capacité, il est souvent utilisé par les cybercriminels qui tentent de blanchir des gains mal acquis.

Protocole OMNI suspendu

Le protocole OMNI – toujours en version bêta – a été arrêté par les développeurs en charge, en attente d’audits et de correctifs de sécurité. De plus, les développeurs d’OMNI ont confirmé qu’aucun fonds client n’avait été affecté par l’exploit, indiquant que les wETH détournés étaient des « fonds de test internes ».

« OMNI est toujours en phase de test (bêta). Aucun fonds client n’a été perdu, seuls les fonds de test internes ont été affectés ! Nous avons suspendu le protocole OMNI jusqu’à ce que nous ayons terminé l’enquête et que tout soit à nouveau examiné par des sociétés de sécurité et d’audit externes. »

Malheureusement pour les développeurs et les fans du projet, il semble qu’OMNI devra rester en version bêta un peu plus longtemps que prévu.