Protocole DeFi basé sur Cosmos exploité pour 5 millions de dollars, les développeurs écrivent un correctif après avoir identifié un bogue

Le protocole DeFi basé sur Cosmos, Osmosis Network, a été arrêté au bloc #4713064 le 8 juin après avoir repéré une vulnérabilité critique dans ses pools de liquidités. L’exploit a eu lieu juste deux pâtés de maisons avant l’arrêt.

• L’attaque a été signalée pour la première fois par un utilisateur de Reddit qui a averti que si un client déposait des fonds dans un pool Osmose, il gagnerait 50 % supplémentaires lors de sa suppression. Le message a depuis été supprimé.
• Mais les utilisateurs ont commencé à exploiter la vulnérabilité peu de temps après pour voler des fonds à Osmosis.
• Dans un cas, une entité malveillante a fourni des liquidités de 101 230 OSMO et réalisé un bénéfice de 50 % après avoir quitté la position quelques secondes plus tard avec 151 084 tokens OSMO. Ils ont réussi à répéter ce processus au moins 30 fois.
• Ce n’est qu’après que les validateurs ont commencé à signaler des problèmes sur Discord suite à la mise à niveau v9 de Nitrogen qu’un arrêt d’urgence a été utilisé pour économiser les liquidités restantes sur l’échange décentralisé.
• En conséquence, l’Osmosis DEX et son portefeuille natif restent inopérants pour le moment.
• Sans divulguer plus de détails sur la nature exacte de la vulnérabilité, le protocole DeFi a révélé l’identification du bogue et l’écriture d’un correctif.
• Les développeurs testent actuellement les protocoles avant de recommander aux validateurs de redémarrer le réseau.

« Mise à jour : le bogue a été identifié et un correctif a été écrit. D’autres tests sont en cours avant que les validateurs ne soient recommandés pour coordonner un redémarrage. Rapport de bogue complet et plan d’action pour un test de bout en bout plus approfondi et plus approprié des mises à niveau de la chaîne à suivre dans les prochains jours. »

• Plus tard, l’équipe à l’origine du protocole a fourni plus d’informations sur ce qui s’était passé, notamment en admettant que 5 millions de dollars étaient à découvert et en promettant de restituer tous les fonds perdus.
• Avant de fournir d’autres mises à jour à ce sujet, le protocole mettra en œuvre « de multiples modifications et mises à niveau de nos protocoles de sécurité pour garantir la qualité et la sécurité d’Osmosis ».

Le bogue lui-même était simple et impliquait un calcul incorrect des actions LP lors de l’ajout et de la suppression de liquidités des pools.

Il aurait dû être attrapé. Il a été douloureusement négligé lors des tests internes qui se concentraient sur des fonctionnalités plus avancées liées à la mise à niveau.

— Osmose (@osmosiszone) 8 juin 2022