Le robot Maestro Telegram touché par une faille de sécurité critique
Maestro, l’un des plus grands projets de robots Telegram de l’écosystème cryptographique, a été victime d’une faille de sécurité critique plus tôt dans la journée, entraînant le transfert non autorisé de plus de 280 ETH, pour un montant stupéfiant de 500 000 $, depuis les comptes d’utilisateurs. La violation provenait d’une vulnérabilité critique découverte dans son contrat Router2, laissant le projet dans la tourmente.
Par conséquent, Maestro a pris des mesures pour résoudre le problème. Cependant, il y aura une interruption temporaire de l’accès aux jetons au sein des pools de liquidité sur des bourses décentralisées spécifiques (DEX).
Faille du contrat du routeur 2 exploitée
Le contrat Router2, un composant essentiel conçu pour gérer la logique derrière les échanges de jetons, abritait une vulnérabilité qui permettait à des acteurs malveillants d’exécuter des appels arbitraires, conduisant au transfert illicite d’actifs.
La société de sécurité PeckShield a identifié que les fonds volés ont trouvé leur chemin vers la plateforme d’échange inter-chaînes Railgun, une tentative probable de dissimuler leur origine.
Nous avons le regret d’informer nos utilisateurs que le routeur Maestro a été compromis ce soir. Nous avons rapidement pris des mesures et supprimé toutes les fonctionnalités du routeur.
Pour ceux qui ont été concernés, un remboursement complet sera effectué. Pour ceux qui n’ont pas été concernés, vos tokens sont totalement sécurisés…
— Maestro (@MaestroBots) 25 octobre 2023
Le problème réside dans la conception unique du contrat Router2, qui utilise un mécanisme proxy qui facilite les modifications de la logique du contrat sans nécessiter de changement dans son adresse.
Bien que cette fonctionnalité soit destinée à permettre une mise à niveau, elle a ouvert par inadvertance une passerelle pour les appels non autorisés. Les attaquants ont exploité cette vulnérabilité pour lancer des opérations « transferFrom » entre toutes les adresses approuvées.
Les attaquants ont exploité une technique simple mais puissante. En saisissant une adresse de jeton dans le contrat Router2, ils définissent la fonction sur « transferFrom », manipulant les détails de l’expéditeur pour refléter l’adresse de la victime et redirigeant les jetons vers leurs comptes. Cette tactique odieuse a conduit au transfert non autorisé de jetons des comptes des victimes vers ceux sous le contrôle des attaquants.
Maestro espère effectuer des remboursements rapidement
Réagissant avec une rapidité louable, Maestro a pris des mesures immédiates. Dans les 30 minutes suivant la découverte de la violation, l’équipe a remplacé la logique du contrat Router2 compromis par un contrat Counter inoffensif. Cette décision tactique a effectivement gelé toutes les opérations du routeur, empêchant ainsi d’autres transferts non autorisés.
Bien que les efforts diligents de Maestro aient réussi à résoudre la vulnérabilité, les jetons hébergés dans des pools de liquidités sur d’importantes bourses décentralisées, notamment SushiSwap, ShibaSwap et ETH PancakeSwap, resteront temporairement inaccessibles pendant que la société procède à un examen interne approfondi.
Assurant les utilisateurs concernés, l’équipe Maestro a annoncé son engagement à procéder à des remboursements, espérons-le dans la journée.
L’incident survient alors que la popularité des robots intégrés à Telegram parmi les traders de crypto augmente. Malgré leur commodité et leur facilité d’utilisation, les experts s’inquiètent des mesures de sécurité mises en œuvre par ces robots dans la gestion des actifs des utilisateurs.
L’article Maestro Telegram Bot touché par une violation critique de la sécurité apparaît en premier sur CryptoPotato.
