L'exploit d'arrondi pose des problèmes à Magic Internet Money

Alors que janvier touche à sa fin, le mois s'annonce difficile pour la sécurité de DeFi après une vingtaine d'exploits. La dernière victime était Abracadabra.money, un chouchou du marché haussier de 2021 et émetteur du stablecoin Magic Internet Money (MIM). L'incident a provoqué une forte baisse du MIM jusqu'à 0,77 $ mardi, avant de se redresser quelque peu à 0,93 $ au moment de la rédaction.
Les sociétés de sécurité Web3 PeckShield et CertiK ont été les premières à signaler l'exploit, qui a été confirmé par le compte X d'Abracadabra.
L'incident a provoqué une baisse du MIM à environ 0,77 $. Le prix s'est rétabli à environ 0,96 $ pic.twitter.com/pCnatJvC1X — Alerte CertiK (@CertiKAlert) 30 janvier 2024
Lire la suite : Les 5 plus gros hacks DeFi de 2023
Un pirate informatique a réussi à voler au moins 6,5 millions de dollars en MIM sur Ethereum. Le portefeuille du voleur a été financé via Tornado Cash et suite au piratage, les jetons MIM volés ont été échangés contre de l'éther (ETH) et transférés vers une paire de nouveaux portefeuilles contenant respectivement 1 800 ETH et 939 ETH à 12 h 30 HE.
Un porte-parole de CertiK a déclaré à Blockworks que le pirate informatique avait profité d'un bug d'arrondi dans le protocole, en particulier les contrats « chaudron v4 » qui ont été déployés début 2023.
Cauldrons est une application DeFi qui facilite le prêt et l'emprunt d'actifs cryptographiques. Les fonds empruntés sont suivis de deux manières : Élastique, représentant le montant réel emprunté qui peut changer en raison des taux d'intérêt, et Base, une représentation plus stable de la dette, utilisée pour les calculs internes.
La transaction suspecte montre une séquence d'étapes au cours desquelles un calcul erroné a permis au pirate informatique de gonfler sa part de la dette empruntée.
Selon l'analyse de CertiK partagée avec Blockworks, la « bibliothèque de rebase » du protocole, qui devrait synchroniser les valeurs élastiques et de base, n'a pas tenu compte des écarts lorsque la valeur élastique était nulle mais pas la base.
Essentiellement, l’attaquant a trompé le protocole en lui faisant sous-estimer la dette en exploitant à plusieurs reprises l’erreur d’arrondi, remboursant ainsi bien moins que ce qu’il devait réellement.
Suivi des exploits DeFi de janvier
En repensant au premier mois de 2024, le service de bug bounty et de sécurité Immunefi a découvert qu'avant l'exploit Abracadabra, plus de 126 millions de dollars avaient déjà été perdus en janvier à travers 19 incidents.
Cela représente une multiplication par six par rapport à il y a un an et 2,8 fois supérieure aux pertes subies en décembre 2023, a déclaré Immunifi.
Source : immunofi.com/research
La majeure partie de cela est attribuable au premier exploit qui a débuté en 2024, lorsque plus de 81 millions de dollars ont été volés sur Orbit Bridge.
Lire la suite : 80 millions de dollars perdus lors du premier piratage de 2024
Les pirates ont le plus souvent ciblé Ethereum (six incidents) et BNB Chain (cinq incidents). Arbitrum (trois incidents) et Solana ont eu deux incidents, avec un exploit chacun sur Polygon, Optimism et Conflux Network, complétant la liste.
À mesure que la valeur des actifs cryptographiques augmente, Immunefi s’attend à ce que 2024 connaisse les pertes nominales les plus importantes de toutes les années à ce jour.
Lire la suite : Les hackers DeFi célèbrent la nouvelle année avec 3 attaques en 5 jours
Suite à l'attaque, les modérateurs de la communauté Abracadabra Discord cherchaient à apaiser les inquiétudes des détenteurs de MIM. Les utilisateurs ont fait part de leurs inquiétudes quant à l'écart prolongé par rapport à sa valeur attendue de 1 $.
« Le MIM a su surmonter des situations difficiles de manière transparente dans le passé, c'est un autre obstacle mais je suis acheteur compte tenu de l'histoire de l'équipe », a écrit un membre.
Abracadabra.money et MIM ont été créés par Daniele Sestagalli, une figure éminente, voire controversée, de l'espace crypto et DeFi.
Sestagalli est également à l'origine des protocoles DeFi Wonderland et Popsicle Finance. Sa réputation a également été affectée par son association avec 0xSifu, membre de l'équipe Wonderland, identifié comme étant Michael Patryn de l'infamie QuadrigaCX. La révélation de janvier 2022 a plongé Wonderland, construit sur Avalanche, dans le chaos.
Popsicle Finance a été piraté pour 20 millions de dollars en août 2021. Le projet est techniquement toujours en cours, bien qu'il ne se soit jamais remis de ses sommets de 2021 et a ensuite été rebaptisé WAGMI, abréviation du slogan cryptographique We're all Gonna Make It.
Ne manquez pas la prochaine grande actualité – rejoignez notre newsletter quotidienne gratuite.