Le robot MEV exploité subit une perte de 2 millions de dollars dans les échanges de pools de courbes : données

Selon les données de PeckShield Alert, un robot MEV (Miner Extractable Value) inconnu a été victime d’un piratage, entraînant une perte d’environ 2 millions de dollars.

L’incident, qui a eu lieu dans les pools de courbes renommés, a conduit à plusieurs swaps importants et à des arbitrages de swap inversés ultérieurs.

L’attaquant manipule le pool de courbes

L’exploitation s’est produite lorsque la fonction d’arbitrage, 0xf6ebebbb(), ne disposait pas d’une authentification appropriée, offrant ainsi à l’attaquant une porte ouverte pour manipuler les swaps sur plusieurs pools de courbes. Cette activité malveillante a entraîné des dérapages importants, entraînant des pertes substantielles pour les parties concernées.

#MEV Un robot MEV inconnu a été exploité (avec une perte de 2 millions de dollars) pour effectuer plusieurs échanges importants dans des pools #curve, provoquant un arbitrage avec de simples échanges inversés.
https://t.co/POY91xvwC4 pic.twitter.com/vu1CaxSrdt

— PeckShieldAlert (@PeckShieldAlert) 8 novembre 2023

Au fur et à mesure que la situation évoluait, l’attaquant a astucieusement inversé les échanges pour maximiser ses profits, aggravant ainsi l’impact de cet incident.

L’attaquant a exploité un robot d’arbitrage, entraînant une perte de 2,3 millions de dollars via le pool Curve. Ils ont découvert une fonction exposée au sein du bot, qui leur a permis de déclencher une transaction de Wrapped Ether (WETH) vers Wrapped Bitcoin (WBTC).

Par la suite, ils ont exécuté un prêt flash de 27 255 WETH (équivalent à 51,36 millions de dollars), l’utilisant pour manipuler de manière significative le rapport de prix WETH/WBTC au sein du pool Curve.

En déstabilisant le pool, l’attaquant a obligé le robot d’arbitrage à convertir 1 339,8 WETH (environ 2,52 millions de dollars) en 6,95 WBTC (environ 244 000 $).

Il est important de noter que le propriétaire du bot MEV avait déjà retiré des fonds du contrat avant l’attaque.

Exploits antérieurs de Curve Finance

Le 30 juillet 2023, une série d’exploitations s’est produite dans plusieurs pools de liquidités sur Curve Finance, entraînant des pertes d’environ 70 millions de dollars. Cet incident a soulevé d’importantes inquiétudes au sein de la communauté DeFi. Les attaques ont été rendues possibles grâce à une vulnérabilité dans Vyper, un langage de programmation Pythonique tiers utilisé par les contrats intelligents Ethereum, y compris ceux de Curve et d’autres protocoles décentralisés.

Il est important de noter qu’après l’incident initial, les pirates informatiques et les opérateurs de robots Miner Extractable Value (MEV) ont collaboré pour récupérer une partie des fonds perdus. En conséquence, la valeur finale des pertes peut être inférieure à celle suggérée par les rapports initiaux.

Moins d’une semaine après l’exploit, le pirate informatique a restitué 4 820 alETH et 2 258 ETH à Alchemix, ce qui équivaut à environ 12,7 millions de dollars.

Le 6 août 2023, Curve Finance a annoncé via Twitter que le délai fixé pour que le pirate informatique restitue volontairement les fonds restants était dépassé. En conséquence, la société a étendu son offre de prime de 1,85 million de dollars à toute personne pouvant identifier le pirate informatique.

Le post exploité MEV Bot entraîne une perte de 2 millions de dollars dans les échanges de pools de courbes : les données sont apparues en premier sur CryptoPotato.