Le Grand retour de Fantom vient chambouler le monde de la DeFi
Nouvelle attaque contre un protocole DeFi. Grim Finance, développé sur la blockchain Fantom Opera, a perdu pour 30 millions de dollars de jetons suite à un piratage.
Les cybercriminels se montrent particulièrement actifs en cette fin d’année. Une semaine plus tôt, la marketplace NFT Vulan Forged était pillée de 140 millions de dollars de tokens PYR.
C’est au tour d’un protocole DeFi d’être la cible d’une attaque. Grim Finance, qui propose un “Optimiseur de rendement de composition” sur Fantom Opera, annonce avoir subi une “attaque avancée”.
30 millions $ en stablecoins disparus
La faille se situe au niveau du vault contract du projet, annoncent ses opérateurs sur Twitter. En conséquence, ce sont tous les autres coffres-forts et fonds associés qui sont exposés à une attaque.
Développé sur la blockchain Fantom, compatible avec Ethereum, Grim Finance offre aux détenteurs de liquidités des rendements. Pour cela, leurs fonds doivent être placés sous séquestre dans son vault.
Mais les pirates ont découvert la vulnérabilité du service à une attaque de type “réentraînement”. Cet exploit permet de simuler des dépôts supplémentaires alors qu’une transaction initiale est toujours en cours.
Par ce biais, il devient possible de tromper le protocole. C’est ce dont vient de faire les frais Grim Finance. Le préjudice se monte à 30 millions de dollars de cryptomonnaies. Grim indique avoir alerté Circle (USDC), DAI et AnySwap.
Un audit de sécurité bâclé ?
L’entreprise espère ainsi obtenir que les jetons volés soient gelés, interdisant tout transfert et blanchiment, via par exemple un mixeur crypto. L’alerte intervient trop tard néanmoins, note Decrypt.
Les attaquants ont en effet déjà commencé à masquer les transferts des stablecoins volés via ce nouvel exploit sur un service DeFi. Une nouvelle fois, les vulnérabilités de la DeFi sont mises en lumière.
Rugdoc.io, un spécialiste de l’audit des smart contracts, égratigne Grim Finance pour avoir négligé de se protéger contre des attaques en reentrancy. “J’espère que tous les projets pourront tirer les leçons de cet incident”, commente-t-il.
Grim avait pourtant réalisé un audit. Celui-ci a été assuré par Solidity Finance. Le protocole bénéficiait en principe d’une protection contre un tel exploit via un ReentrancyGuard. De quoi douter de la qualité de l’audit.
Partager
Romaric Saint Aubert
Rédacteur
