Le protocole de DeFi Ankr a subi un hack monstrueux il y a quelques semaines de plus de 20 trillions de BNB. Les équipes du projet confirment qu’il était le fait d’un employé malhonnête.
Un hack opéré de l’intérieur !
La start-up californienne Ankr a été victime d’un collaborateur malhonnête. Pour rappel, ce dernier était parvenu à dérober la somme de 5 millions de dollars.
Le 2 décembre dernier, un hacker était parvenu a exploité une faille d’un smart contract concernant l’un des tokens de récompense du staking d’Ankr, le aBNBc. Il avait utilisé ce bug dans le code qui lui a permis de minter de façon illimitée le token, déployé sur la réseau BNB de Binance.
After Action Report: Our Findings From the aBNBc Token Exploit
We just released a new blog post that goes in-depth about this: https://t.co/fyagjhODNG
A ? pic.twitter.com/d6psUbpxNY
— Ankr Staking (@ankrstaking) December 20, 2022
Dans un article de blog publié mardi, le protocole décentralisé a déclaré qu’un ancien membre de l’équipe était à l’origine de cette attaque. L’identité de ce dernier n’a toutefois pas été révélée. Ankr écrit :
Un ancien membre de l’équipe (qui ne fait plus partie d’Ankr) a agi de manière malveillante pour mener une attaque sur la chaîne d’approvisionnement, en insérant un paquet de code malveillant qui a pu compromettre notre clé privée après une mise à jour légitime.
Ankr rajoute :
Malheureusement, les mauvais acteurs en interne peuvent affecter n’importe quel protocole et nous travaillons à améliorer les processus RH internes et les mesures de sécurité pour renforcer notre sécurité à l’avenir.
Cette possibilité de hack opéré au sein même des équipes d’Ankr avait déjà été évoquée par la société Arkham. Ankr travaille maintenant avec les forces de l’ordre pour potentiellement poursuivre l’ancien membre de l’équipe.
L’investissement en crypto-monnaies est proposé par eToro (Europe) Ltd en tant que PSAN, enregistré auprès de l’AMF. Les crypto-monnaies sont très volatiles. Pas de protection des consommateurs.
Retour sur ce hack majeur
Ankr était revenu sur ce hack peu de temps après expliquant que le hacker avait “minté un excès d’aBNBc à partir de rien” en téléchargeant un nouveau smart contract qui permettait de minter sans contrôle d’autorisation. Ces tokens avaient ensuite été échangés contre d’autres sur différents DEX.
Au total, le hacker avait minté près 60 trillions d’aBNBc au cours de six transactions ! Un chiffre gigantesque ! Certains d’entre eux avaient été échangés contre des dollars avant de transférer les stablecoins sur le réseau Ethereum et de les blanchir par le biais du mélangeur de crypto Tornado Cash.
Ce hack a rapidement été suivi d’un autre piratage sur la plateforme de staking Helio. Cette dernière n’avait pas mis à jour les prix des tokens liés à Ankr, malgré la chute de plus de 99 % de l’aBNBc, qui est passé de 303 dollars à 1,54 dollar.
Cette erreur a permis à un utilisateur d’emprunter 16 millions de dollars de son stablecoin natif HAY en utilisant les jetons Ankr concernés comme garantie. Il a ensuite échangé ces actifs contre 15 millions de dollars en BUSD, selon la société d’analyse blockchain BlockSec, avant d’envoyer ce juteux butin sur l’exchange Binance.
Un remboursement des clients lésés
Par la suite, Ankr a mis en place un plan de reprise pour la communauté. Ce dernier prévoyait de dédommager ses fournisseurs de liquidités, ses prêteurs et les autres utilisateurs touchés par ce hack.
L’équipe a également contribué à stabiliser le HAY après le hack subi par le stablecoin. Toutefois, le token n’a toujours pas retrouvé son ancrage au dollar. Il s’échange actuellement à un peu plus de 0,99 $.
Dans tous les cas, Ankr espère que l’authentification multi-sig, c’est-à-dire via plusieurs signatures, pour les mises à jour permettra d’éviter des attaques similaires dans le futur. L’équipe met également en place des vérifications des antécédents des employés et revoit les droits d’accès de chacun.
2022 est une année record en matière de hacks dans l’écosystème crypto. Rien d’étonnant quand on sait que l’adoption de la crypto progresse d’année en année. Avec elle, les montants verrouillés dans la finance décentralisée grossissent et attirent les hackers.
Pour en savoir plus sur la faillite du leader du minage Core Scientific, retrouvez notre article ici.
Partager
Antoine Marin
Rédacteur
