La plateforme Mango Markets a perdu plus de 110 millions de dollars après une attaque qui a manipulé les données de sa valeur. Le jeton a connu une chute de 52 % dans les 24 heures après le hack. Voyons ensemble comment le pirate a procédé pour soutirer une telle somme d’argent.
Un vol de plus de 100 millions de dollars
La plateforme décentralisée (DeFi) Mango Market a subi le 11 octobre la pire attaque de son histoire. En manipulant les données d’Oracle Data (système de gestion de base de données), l’attaquant a réussi à soutirer 100 millions de dollars. Ce dernier a ainsi pu contracter des prêts crypto collatéral.
Selon Spectrocoin : “dans le domaine des prêts adossés à des crypto-monnaies, le collatéral est l’actif en crypto-monnaies que l’emprunteur met en gage comme garantie que le prêt va être remboursé. Le collatéral cryptographique est restitué lors du remboursement intégral du crédit.”
Cette faille a été identifiée par la société de sécurité blockchain OtterSec. Celle-ci avait tweeté que le token Mango (MNGO) avait été drainé de 112 millions de dollars en raison d’une attaque visant la valeur de l’actif numérique.
@mangomarkets was just drained for over $100M. https://t.co/SI4hccCIQx
— OtterSec (@osec_io) October 11, 2022
L’utilisateur Joshua Lim a également fait une analyse technique de la situation et l’a décrite en 6 étapes :
- Drain de 100 millions de dollars
- L’attaquant a ensuite proposé 483 millions de jetons MNGO sur le marché
- À 18 h 24, l’attaquant a financé son 2ᵉ compte avec 5 millions de collatéraux USDC pour acheter les 483 millions de tokens MNGO, au prix de 0,0382 $ par unité.
- À 18 h 26, l’attaquant a commencé à faire bouger le prix de MNGO et s’est échangé jusqu’à 0,91 $
- Au prix MNGO/USD de 0.91 $ par unité, le compte B était dans l’argent de 483 millions (0.91 $ – 0.03298 $) = 423 millions de dollars. (Cela représentait suffisamment de pertes et profits non réalisés pour contracter un prêt de 116 millions de dollars à travers un ensemble de jetons, qui ont ensuite quitté Mango et laissé le protocole en déficit.)
- Anéantissement de toutes les liquidités de MANGO
1/ this is how I think the mango attack played out, please let me know if I got anything wrong:
at 6:19 PM ET, attacker funded acct A (CQvKS…) with 5mm USDC collateralhttps://t.co/hZuV3WexWh https://t.co/cs2Wxo2Roy pic.twitter.com/rkdtJ8KU7h
— Joshua Lim (@joshua_j_lim) October 12, 2022
Les crypto-actifs représentent un investissement risqué.
L’équipe de MANGO demande de rester prudent
L’équipe de Mango Markets a tweeté peu après l’attaque. Elle a averti les utilisateurs de ne pas déposer de fonds jusqu’à ce que “la situation soit plus claire“. Ils ont également tenté de contacter l’attaquant pour discuter d’un bug bounty (récompense pour avoir trouver une faille).
Dans un autre tweet, la société a voulu être le plus transparent possible. Elle a ainsi annoncé vouloir empêcher toute nouvelle perte inutile. En effet, le programme est à l’arrêt depuis l’attaque. De plus, la firme souhaite que tous les utilisateurs du protocole Mango soient remboursés. Et enfin, Mango désire récupérer une partie de la valeur de la DAO (Organisation Autonome Décentralisée) et du protocole pour reconstruire l’actif.
Le prix du Mango est aujourd’hui de 0,029410 € avec un volume d’échange sur 24 heures de 9 960 276 €. Le taux du MANGO a continué de diminuer de 28,72 % ces dernières 24 heures après l’attaque. Il semble difficile pour l’actif numérique de se relever de ce vol même si l’équipe met tout en place pour reconstruire le projet.
Le pic impressionnant suite à l’attaque qu’a subi l’actif numérique
D’autres attaques dans la même période
En parallèle, la blockchain QANplatform a subi un hack le 11 octobre. L’actif a été vidé d’environ 1,89 million de dollars, selon la firme de sécurité de Blockchain Beosin. Cela représente la moitié du volume de tokens qui est de 3,3 milliards. La plateforme enquête actuellement sur les causes de l’incident.
TempleDAO quant à lui a perdu plus de 2 millions de dollars. La plateforme a été ciblée par un hacker qui a réussi à transférer 1831 ETH sur son wallet. Il aurait exploité un smart contract de STAX pour arriver à ses fins.
TempleDao @templedao has been attacked. The root cause is the insufficient access control to the migrateStake function.https://t.co/eUwSMkZrEt pic.twitter.com/zXBUwzQ2Oy
— BlockSec (@BlockSecTeam) October 11, 2022
Les hackeurs font toujours preuve de plus d’imagination. Même si les blockchains tendent à devenir de plus en plus sécurisées, ces 3 attaques nous montre qu’il existe encore des failles et que la sécurité des actifs numérique n’est pas sûre à 100 %.
D’autres articles sur le même thème :
- Hack de la BNB Chain : Que s’est-il passé ?
- Hack sur Sovryn, l’un des (très) rares protocoles de DeFi sur Bitcoin : 1,1 million $ volés
- La FED a saisi 311 millions de dollars en Bitcoin, mais le hacker les vole à nouveau
Jérôme Moreau
