Contrats GMX : Déclaration après l'Exploit de Chaudron d'Abracadabra et les 13 Millions de Dollars en Jeu

Chapô : Un nouvel exploit a frappé l'échange décentralisé GMX, entraînant le vol d'environ 6 260 Ethereum, soit près de 13 millions de dollars. Cette attaque révèle des failles au sein des contrats intelligents du système Abracadabra, amplifiant les préoccupations concernant la sécurité dans l'écosystème DeFi. Bien que GMX ait assuré la sécurité de ses propres contrats, les investigations se poursuivent pour comprendre et prévenir ce type d'incidents.

GMX confirme la sécurité de ses contrats intelligents

Le cabinet de sécurité Peckshield a détecté une exploitation touchant l'échange décentralisé GMX, mettant ainsi en lumière des vulnérabilités dans le système Abracadabra. L'attaque s'est produite par le biais des chaudrons d'Abracadabra, qui sont des contrats intelligents facilitant diverses opérations DeFi comme les prêts et emprunts. Ce incident a conduit au vol d'environ 6 260 Ethereum, équivalant à environ 13 millions de dollars.

Malgré cette situation inquiétante, GMX a rapidement rassuré sa communauté en affirmant que ses propres contrats n’avaient pas été compromis. L’équipe a précisé que le problème était limité à l'intégration entre GMX V2 et les chaudrons d'Abracadabra, qui utilisent leurs pools de liquidité pour fonctionner. En outre, elle a annoncé qu'aucune vulnérabilité n'avait été identifiée dans ses propres systèmes.

L'équipe travaille avec celle d’Abracadabra ainsi que des experts en sécurité externes pour enquêter sur cette violation et éviter qu'elle ne se reproduise à l'avenir. Cet événement met en lumière les défis continus liés à la sécurité dans l'écosystème plus large du DeFi.

L’attaquant exploite une faille lors d’un prêt flash

Le chercheur crypto Weilin (William) Li a analysé comment cette attaque s'est déroulée via un contrat appelé Cauldronv4, permettant aux utilisateurs d'exécuter plusieurs actions avec une vérification de solvabilité effectuée uniquement à la fin du processus. Dans ce cas précis, l’attaquant aurait réalisé sept actions différentes dont cinq impliquaient un emprunt du stablecoin Magic Internet Money (MIM) avant de déclencher le contrat malveillant pour procéder à une liquidation.

Selon l'analyse initiale de Li, lors de sa première action consistant à emprunter MIM, la dette de l'attaquant aurait déjà augmenté suffisamment pour rendre possible la liquidation ultérieure (action 31). Cependant, cela s’est produit sans aucune garantie puisque c'était dans un cadre appelé "prêt flash".

Li souligne également que l’attaquant avait su tirer parti des incitations liées aux liquidations tout en contournant efficacement les protections mises en place par le système grâce au timing inapproprié du contrôle sur sa solvabilité.

Cette série d'événements rappelle aux acteurs du secteur DeFi combien il est crucial d'améliorer constamment les mesures sécuritaires afin de protéger leurs utilisateurs contre ce type d'exploitation frauduleuse.