Sturdy Finance, un protocole de finance décentralisée (DeFi) qui permet aux utilisateurs d’emprunter et de prêter sans intérêt, a subi une attaque de sécurité il y a quelques heures. Le hacker a réussi à siphonner 442 Ether (ETH), soit environ 800 000 dollars au moment de l’écriture, en exploitant une faille dans le système de prix du protocole. Revenons sur la manière dont le hacker a procédé pour réaliser son coup.
Un attaque de type “re-entrancy” combinée à une manipulation de prix
Voici, résumé de manière un peu pédagogique, comment le hacker a procédé :
– Il a déposé 1 ETH sur Sturdy Finance, ce qui lui a donné droit à un certain nombre de jetons cB-stETH-STABLE en échange. Ces jetons représentent une part du pool stETH Stable de Curve Finance, permettant d’échanger des jetons stables – stETH est un jeton stable qui suit le prix de l’Ether (ETH).
– Il a ensuite appelé une fonction du protocole qui lui permettait de retirer ses jetons cB-stETH-STABLE en ETH, en utilisant le système de prix de Sturdy Finance pour calculer le taux de change.
– Avant que la fonction ne soit terminée, il a appelé la même fonction une deuxième fois, en profitant d’une faille qui ne vérifiait pas si le hacker avait déjà retiré ses jetons ou pas. Ainsi, il a pu retirer deux fois plus d’ETH qu’il n’en avait déposé.
– Il a répété cette opération trois fois de plus, en appelant la même fonction quatre fois au total dans la même transaction. A chaque fois, il a pu retirer deux fois plus d’ETH qu’il n’en avait déposé.
– Au final, il a pu retirer 442 ETH en ayant déposé seulement 1 ETH, ce qui représente une perte de 800 000 dollars pour le protocole Sturdy Finance.
Les fonds déjà envoyés sur Tornado Cash pour brouiller les traces
C’est la société de sécurité PeckShield qui a la première relayé l’attaque et averti l’équipe de Sturdy Finance. Celle-ci a réagi en mettant en pause tous ses pools de liquidité, puis en rassurant sa communauté qu’aucun autre fonds n’était en danger.
Le hacker a transféré presque 800 000 dollars en ETH vers le mélangeur de crypto Tornado Cash, un service qui permet de dissimuler l’origine et la destination des transactions. Il a aussi envoyé des fonds vers d’autres adresses, probablement pour les échanger ou les retirer.
Sturdy Finance n’est pas le seul protocole de DeFi à avoir subi une attaque de réentrance. D’autres protocoles comme Grim Finance, dForce et Hundred Finance ont également été victimes de ce type d’attaque.
Un coup dur pour l’un des protocoles DeFi les plus prometteurs
Sturdy Finance est un protocole très particulier, qui ambitionne d’être l’un des fers de lance de la DeFi sur Ethereum. Il permet aux utilisateurs d’emprunter et de prêter sans intérêt.
Mais comment fait-il ? En utilisant le collatéral des emprunteurs pour générer des rendements élevés dans d’autres protocoles de DeFi comme Yearn, Convex et Lido.
Par exemple, si un utilisateur emprunte 100 ETH sur Sturdy Finance, il doit déposer au moins 150 ETH comme collatéral. Ce collatéral est ensuite utilisé par Sturdy Finance pour investir dans des stratégies de yield farming, c’est-à-dire des méthodes pour optimiser les gains sur les actifs déposés dans des protocoles de DeFi.
Ainsi, Sturdy Finance reçoit des récompenses sous forme de jetons ou d’intérêts, qu’il redistribue aux emprunteurs et aux prêteurs. Les emprunteurs peuvent ainsi rembourser leur prêt sans payer d’intérêt, et les prêteurs peuvent recevoir un taux d’intérêt attractif.
Sources : The Block, PeckShield
Sur le même sujet :
- Entre hacks de clés privées et scam tokens, les 5 types de piratage qui ont coûté des fortunes aux investisseurs en 2022
- Ethereum face à des supports majeurs, la SEC et la Fed rendent les cryptos frileuses
Partager
David Rajaonary
