WazirX, l’un des plus gros exchanges crypto Indien, a récemment été la victime d’un hack à hauteur de 230 millions de dollars. Est-ce le nouveau FTX ?
TruthLabs révèle des informations sur le hack de WazirX
Avant toute chose, WazirX a réussi à attirer plus de 20 millions d’indiens. Avec son objectif de ramener le milliard d’utilisateurs dans la crypto, le fondateur Nischal Shetty déclarait être déterminé à promouvoir la crypto.
Mais la catastrophe est arrivée. WazirX a récemment subi un hack à hauteur de 230 millions de dollars. Ils ont récemment annoncé la migration des fonds de Liminal vers de nouveaux portefeuilles multisig. Mais le mal est fait et pourrait être bien plus profond que cela.
Selon l’enquêteur TruthLabs, plusieurs signaux laissent à penser que WazirX n’est pas tout blanc dans cette affaire. Le premier point étant qu’ils n’ont pas offert de bounty pour trouver le responsable. Ce qui est chose commune de manière habituelle :
“Ce que WazirX n’a pas fait, c’est d’offrir une prime qui aurait aidé à comprendre qui était à l’origine de l’exploitation de plus de 230 millions de dollars dans les actifs de ses clients. À l’heure actuelle, on ne comprend pas pourquoi ils n’offriraient pas de prime pour cela.”
Mais d’autres “reds flags” sont apparus dans le rapport préliminaire de WazirX. Le premier étant qu’ils annoncés 4 signatures nécessaires pour accéder aux wallets alors que 6 adresses étaient approuvées.
“WazirX indique à tort qu’une transaction sur son compte Multi Signature nécessite 3 signataires WazirX et une approbation finale du signataire de Liminal.
Il convient de noter que le multisig WazirX disposait de 6 adresses approuvées pouvant signer une transaction, dont 4 étaient requises.
Le signal d’alarme ici est que ce portefeuille multisignature devait toujours avoir 3, puis plus tard, 4 signatures, bien que WazirX donne l’impression que ce n’était pas le cas.
C’est là que ça devient vraiment intéressant.”
Le deuxième signal d’alarme étant que 4 des signatures sont liées avec la sixième. Ce qui veut dire qu’une seule et même personne pourrait être à l’origine de 5 signatures :
“Le but d’un Multi-sig est de limiter votre exposition si l’une de vos clés est compromise. L’exploiteur ne peut alors signer qu’une seule des signatures requises et vous pouvez éviter une attaque.
Le fait que WazirX ait un seuil de 4 signatures parmi les 6 signataires éligibles est formidable, mais complètement inefficace et constitue une faille de sécurité majeure.
Par exemple, Wazir rejette la faute sur Liminal, qui a obtenu sa sixième et dernière signature.
Par ailleurs, TruthLabs révèle que Base de Coinbase, Blast, Optimism et Mantle ont également le même procédé non sécurisé.
WazirX et ses fondateurs sont des escrocs ?
“L’article ci-dessous en couvre un autre signal montrant que l’adresse d’échange principale de WazirX, créée en 2022, 3 ans après la création de WazirX, a en fait commencé comme une adresse Binance, qui était déjà liée à la fraude et au vol, et a continué à agir comme si elle était toujours Binance.
Je montre comment le déployeur de WazirX n’a envoyé des fonds que à Binance, SwipeX (un protocole connecté à la fraude) et à une adresse Burn.”
En somme, WazirX aurait “mentit” et serait bien responsable de ce hack par “incompétence”. Ce qui rappelle sans aucun doute l’affaire FTX. Dans la mesure où l’Inde possède plus d’1 milliard d’utilisateurs potentiels, ce fiasco aura vraisemblablement un impact bien plus grand que ce que l’on imagine.
WazirX a répondu au thread de TruthLabs en déclarant que c’était une “analyse incorrecte” et que plusieurs personnes détenaient ces signatures. TruthLabs a alor demandé des preuves, aucunes réponses à ce jour.
L’affaire va plus loin puisque le fondateur Nischal Shetty a lancé un “bug boutny” au même moment du hack à hauteur de 1 million sur son autre projet Shardeum :
“Le bug bounty est en préparation pour le lancement de son token, qui aura besoin de liquidités importantes, d’une valeur d’environ 230 millions de dollars, je suppose, pour rembourser les investisseurs et faire participer tout le monde.
Ce scénario est beaucoup trop courant. Cela me rappelle le moment où Wintermute a été piraté pour 160 millions de dollars et qu’il lançait un Dex et un jeton inopiné une semaine plus tard. Bien entendu, la plupart des jetons crypto qui voient tout type de liquidité sont lancés de cette façon.
La crypto ne changera pas ses habitudes tant que la responsabilité n’aura pas été établie.”
Les utilisateurs ont récemment exprimé tout leur mécontentement en apprenant que Nischal Shetty et son co-fondateur associé de WazirX sont également les fondateurs du nouvel exchange Pi42.
Ce dernier a récemment déclaré “être plus sécurisé que WazirX”. Les utilisateurs ont donc exprimé leur colère en se demandant comment il pouvait y avoir une meilleure sécurité quand il s’agit des mêmes co-fondateurs derrière les deux projets.
Tant de signaux d’alarme que la chute semble inévitable. Espérons que les impacts sur l’industrie crypto en Inde ne seront pas trop préjudiciables pour l’adoption. Les comptes de WazirX seraient même associés à Lazarus. Affaire à suivre.
Sources : TruthLabs.
Sur le même sujet :
- Les influenceurs cryptos menacés par la FTC ?
- Est-il encore temps d’acheter Ethereum ? Voici ce meme coin qui fait fureur dernièrement
- Crime Crypto : Ils demandent une rançon d’un million de dollars en échange de la vie d’un homme
Partager
Charles Ledoux
