L’exchange décentralisé vient de subir une attaque majeure avec une perte projetée de plus de 3 millions de dollars. Une faille au niveau des smart contracts serait responsable de cette attaque.
Une mauvaise protection des smarts contracts en cause ?
Orion Protocol, un exchange décentralisé de second rang, a subi hier une attaque de grande ampleur. En effet, un hacker a réussi à s’emparer de 3 millions de dollars au total en Ethereum et en BNB.
Pour cela, le hacker a utilisé la technique “reentrancy” ou réentrainement selon la société de sécurité PeckShield. Cette faiblesse au niveau du smart contract arrive lorsqu’un hacker appelle de manière répétée une fonction et parvient à en extraire les actifs avant que le smart contrat ne mette à jour son état interne.
Gal Sagie, PDG de la société de cybersécurité Hypernative, a déclaré que le hacker a déployé un faux token nommé ATK qui a été utilisé pour manipuler les pools Orion. Il a utilisé un contrat intelligent autodestructeur.
L’investissement en crypto-monnaies est proposé par eToro (Europe) Ltd en tant que PSAN, enregistré auprès de l’AMF. Les crypto-monnaies sont très volatiles. Pas de protection des consommateurs.
Une pause des activités pour Orion Protocol
L’équipe derrière le protocole a reconnu le hacks et mis en pause les dépôts sur ce dernier. Le PDG d’Orion Protocol, Alexey Koloskov, affirme que les utilisateurs n’ont pas perdu de fonds. Il déclare que seuls les fonds de la société ont été volés. Il déclare :
Nous voulons rassurer nos utilisateurs qu’aucun utilisateur n’a subi de perte pendant cet incident.
Ce dernier ajoute que la faille dans les smart contracts peut avoir été introduite en raison de l’utilisation par l’équipe de développement de bibliothèques logicielles tierces pour écrire les smart contracts. À l’avenir, Koloskov a ajouté que l’équipe s’appuiera uniquement sur des développeurs internes pour écrire leurs contrats.
We have reasons to believe that the issue was not a result of any shortcomings in our core protocol code, but rather might have been caused by a vulnerability in mixing third-party libraries in one of the smart contracts used by our experimental and private brokers.
— Alexey Koloskov (@alexeykoloskov) February 2, 2023
Peu de temps après le hack, un wallet identifié comme celui du hacker aurait fait transité les fonds par le mixeur Tornado Cash. Ce dernier est régulièrement utilisé par les pirates pour brouiller les pistes et faire disparaitre les fonds volés.
Le token ORN ne dump pas pour l’heure
Le token natif de l’exchange, le ORN, ne subit pour l’heure qu’une baisse légère de son cours. En effet, ce dernier a chuté de 4,5 % dans les 24 dernières heures et s’échange actuellement pour 0,99$. Il sera intéressant de surveiller les prochains jours si un dump massif se met en place.
Par ailleurs, CZ, le CEO de Binance, a tweeté pour préciser que l’exchange ne possédait aucun fonds sur le protocole de DeFi. Une manière de rassurer les utilisateurs et l’écosystème après ce nouveau hack d’ampleur.
L’année 2022 avait été une année record en matière de piratages notamment dans la DeFi. Parmi ces derniers, on se rappelle notamment du hack de Ronin ou du protocole Wormhole. 2023 semble partir sur les mêmes bases et nous observerons avec attention les prochains mois et les nouveaux hacks qui ne manqueront pas d’arriver !
Source : The Block
Pour en savoir plus sur les dernières révélations fracassantes dans l’affaire Celsius, retrouvez notre article ici.
Antoine Marin
