Comment les escrocs ont exploité les vulnérabilités du code de contrat intelligent de Pancake Bunny »CryptoNinjas
Dans son dernier article sur Hack Track, Merkle Science, une plate-forme de surveillance et d’enquête sur la blockchain, a publié un résumé décrivant en anglais ce qui s’est passé, qui a été touché et qu’est-ce que cela signifie pour l’avenir des prêts flash et DeFi?
Plus tôt dans la journée, l’agrégateur agricole de rendement DeFi, Pancake Bunny, a été victime d’une attaque de prêt flash, l’attaquant s’en tirant avec environ 45 millions de dollars en quelques secondes.
Le kicker? Rien n’a été violé. L’attaquant a profité de deux choses: des prêts flash (une innovation dans DeFi) et des vulnérabilités logicielles sur une plateforme DeFi.
Arrière-plan
Attaque de prêt flash: Un prêt flash est un prêt consenti et retourné dans le délai nécessaire pour créer un nouveau bloc sur la blockchain. C’est un prêt qui n’oblige pas l’emprunteur à déposer une garantie. L’emprunteur retournera rapidement un profit sur le montant et remboursera le prêt initial avant qu’un nouveau bloc ne soit formé. Dans une attaque de prêt flash, le fraudeur prendra le prêt afin de manipuler le marché et / ou d’exploiter les vulnérabilités logicielles dans le code.
Teneurs de marché automatisés (AMM) : Bien que tous les échanges décentralisés ne soient pas des plates-formes AMM, certains des DEX les plus populaires le sont. Les plates-formes AMM permettent de négocier automatiquement les crypto-monnaies en utilisant un pool de liquidités programmé plutôt qu’un carnet de commandes traditionnel, qui rassemble acheteurs et vendeurs.
Pools de liquidité : La liquidité fait référence à la facilité avec laquelle un actif peut être converti en un autre sans avoir beaucoup d’impact sur les prix. Les plates-formes AMM collectent des fonds dans un pool de liquidités via un contrat intelligent afin de faciliter le trading décentralisé, les prêts et d’autres fonctions financières. Pour les échanges décentralisés tels que Uniswap ou PancakeSwap, les pools de liquidité permettent aux plateformes de fonctionner correctement.
Fournisseurs de liquidité et jetons LP : Les fournisseurs de liquidité sont incités à fournir des actifs aux pools de liquidité afin que les jetons puissent être échangés facilement sur la plate-forme. Par exemple, une partie des frais générés par la négociation au sein du pool peut être utilisée pour «rembourser» les fournisseurs de liquidités. En outre, lorsque les fournisseurs de liquidité apportent des actifs à un pool, la plate-forme AMM génère automatiquement un jeton LP, qui peut ensuite être utilisé dans d’autres fonctions – soit sur sa plate-forme native, soit sur d’autres applications DeFi – afin que les fournisseurs de liquidité puissent même recevoir de meilleurs rendements.
Valeur totale verrouillée (TVL) : Utilisée comme métrique de facto pour montrer la croissance de la finance décentralisée, la valeur totale bloquée est le montant du capital qui a été déposé dans DeFi – souvent sous la forme de garanties de prêt ou de liquidité dans un pool de négociation.
Contrairement aux rapports précédents selon lesquels 1 milliard de dollars auraient été volés à Pancake Bunny, Igor Igamberdiev, analyste de recherche chez The Block Crypto, a révélé qu’en fait environ 45 millions de dollars (114000 WBNB) avaient été volés. L’attaquant a exploité l’utilisation de prêts flash via PancakeSwap (PCS).
1/6
Aujourd’hui, des jetons BUNNY d’une valeur de plus de 1 milliard de dollars ont été frappés par Bunny Finance sur BSC, ce qui a entraîné le vol de 40 millions de dollars:
114 000 WBNB (40 M $) 697k BUNNY /li>
Dans une série de tweets, Igor a décomposé les actions de l’attaquant en six étapes, qui ont été confirmées par l’autopsie de Pancake Bunny :
6/6
/li>
Comme indiqué dans le «plan aller de l’avant» de Pancake Bunny, tous les coffres sont sûrs et aucun coffre-fort n’a été violé. Cependant, lorsque le nouveau BUNNY de l’étape 5 a inondé le marché, le prix du BUNNY s’est effondré. Une partie de la TVL de Pancake Bunny se trouve à BUNNY, donc – bien que le coffre-fort lui-même n’ait pas été violé – TVL était toujours perdue.
Qui a été blessé par cette attaque?
Principaux, les détenteurs de BUNNY sont ceux qui ont le plus souffert de cet incident de deux manières:
- Avec 7 millions de jetons BUNNY créés à partir de rien, les jetons existants ont été dilués, ce qui a fait baisser le prix de BUNNY
- En raison de la vente de jetons BUNNY sur le marché, la liquidité de BUNNY – la facilité avec laquelle BUNNY peut être vendu sur le marché – a été complètement zappée
Dans son «plan aller de l’avant», Pancake Bunny a décrit les mesures qu’elle prend pour favoriser le rétablissement de 1) TVL, 2) capitalisation boursière et 3) indemnisation de chacun pour ses pertes dès que possible.
Qu’est-ce que cela signifie pour les prêts flash, les attaques de prêt flash et les plates-formes DeFi?
Les prêts flash sont uniques en ce sens que les emprunteurs sont capables d’agir comme une baleine sur les marchés avec peu ou pas de garanties, donnant ainsi à presque tout le monde la possibilité de manipuler le marché et d’exploiter les vulnérabilités des codes de contrat intelligents.
Comme pour toute industrie naissante, des erreurs sont commises au début et l’industrie apprendra de ces types d’attaques. Les systèmes et l’infrastructure seront ensuite appliqués et renforcés pour garantir des transactions sûres pour ceux qui utilisent les plates-formes DeFi.
