Pump. Fun de Solana perd 2 millions de dollars suite à un exploit interne choquant

Le 16 mai, à 15h21 UTC, Pump.fun, une plateforme de création de pièces de monnaie dans l'écosystème Solana (SOL), a été exploitée. L'incident a entraîné une perte d'environ 12 300 SOL, soit une valeur de près de 2 millions de dollars aux prix actuels du marché.

L'attaquant a manipulé la plateforme à l'aide de prêts flash de Margin.fi pour obtenir SOL et acheter les jetons Pump.fun sans utiliser ses propres fonds. Cette exploitation récente a provoqué une onde de choc dans la communauté crypto.

De l’initié à l’attaquant : la faille de sécurité de Pump.fun

Initialement identifié par l'adresse du portefeuille 7ihN8QaTfNoDTRTQGULCzbUT3PHwPDTu5Brcu4iT2paP, l'attaquant a exploité pump.fun en achetant tous les tokens des nouveaux projets lancés sur la plateforme en quelques minutes. Cette action a poussé la courbe de liaison jusqu’à sa limite.

Dans le secteur de la finance décentralisée (DeFi), la courbe de liaison est un contrat intelligent qui crée un marché de jetons sans dépendre des échanges de cryptomonnaies. Par conséquent, comme prévu, la manipulation a empêché la cotation des jetons sur Raydium DEX, un échange décentralisé de Solana.

Lire la suite : Les 5 principales failles de la sécurité cryptographique et comment les éviter

Exploitation du prêt Flash par l'attaquant de Pump.fun. Source : Solscan

En réponse à l'attaque, Pump.fun a amélioré ses contrats pour empêcher toute exploitation ultérieure. En outre, l'équipe a suspendu les échanges et assuré aux utilisateurs que la valeur totale verrouillée (TVL) du protocole était sûre.

"Nous nous engageons à assurer la sécurité de nos utilisateurs et coopérons avec les parties concernées, y compris les forces de l'ordre, pour minimiser les dégâts", a déclaré l'équipe.

Il est intéressant de noter que l’attaquant était un ancien employé de Pump.fun – Jarrett, mieux connu sous le pseudonyme de STACCOverflow. Jarrett a exprimé son mécontentement à l'égard de l'entreprise sur les réseaux sociaux, déclarant son intention de perturber la plateforme.

«Le genre d'horribles patrons qui vous voient vous casser la main, vous demandent ce qui s'est passé, vous dites que la table en verre vous a eu, et ils disent 'est-ce que cette table va bien ?' Ce n’est pas le genre de personnes que vous voulez mettre au premier plan en tant que visage de la blockchain », a écrit Jarrett après l’attaque.

Il a précisé qu’il avait un plan et qu’il souhaitait « changer le cours de l’histoire ». De plus, il a déclaré qu’il ne craignait pas d’aller en prison.

Dans un autre article, Jarrett a également déclaré qu'il distribuerait son butin via un parachutage entre diverses communautés, notamment Slerf, Stacc, Saga et Risklol. En raison de sa décision d'effectuer le largage aérien, certains membres de la communauté cryptographique l'ont surnommé le « Web3 Robinhood ».

Environ cinq heures après son annonce initiale, Pump.fun a publié une autopsie. Ils ont redéployé les contrats et repris les échanges avec des frais de 0 % pour les sept jours suivants. Ils se sont également engagés à créer des pools de liquidité (LP) pour les pièces concernées afin de restaurer la fonctionnalité de négociation.

Lire la suite : Crypto Project Security : un guide pour la détection précoce des menaces

« Les pièces qui ont atteint 100 % entre 15h21 et 17h00 UTC sont dans les limbes, ce qui signifie que personne ne peut les échanger tant que les LP ne sont pas déployés pour elles sur Raydium. Pour que les utilisateurs soient entiers, l'équipe Pump.fun amorcera les LP pour chaque pièce concernée avec une quantité de liquidité SOL égale ou supérieure à celle de la pièce à 15h21 UTC dans les prochaines 24 heures. […] Les sh*tcoins Solana sont de retour, et plus grands que jamais », a écrit l’équipe Pump.fun.

Bien que Pump.fun affirme être déjà revenu, la communauté crypto doit rester vigilante. Certains escrocs tentent de profiter de l'incident en se faisant passer pour l'équipe Pump.fun et en partageant des liens malveillants prétendant être des liens de remboursement.

Clause de non-responsabilité

Conformément aux directives du Trust Project, BeInCrypto s'engage à fournir des rapports impartiaux et transparents. Cet article de presse vise à fournir des informations précises et actuelles. Il est toutefois conseillé aux lecteurs de vérifier les faits de manière indépendante et de consulter un professionnel avant de prendre une décision basée sur ce contenu. Veuillez noter que nos conditions générales, notre politique de confidentialité et nos clauses de non-responsabilité ont été mises à jour.