Le protocole de financement décentralisé (DeFi) basé sur la chaîne BNB Ankr a confirmé qu’il avait été touché par un exploit de plusieurs millions de dollars le 1er décembre.
L’attaque semblait être la première découvert par l’analyste de sécurité en chaîne PeckShield vers 00h35 UTC le 2 décembre.
Moins d’une heure après l’attaque, Ankr a confirmé sur Twitter que le jeton aBNB avait été exploité et qu’ils travaillaient avec les bourses pour arrêter immédiatement la négociation du jeton compromis.
Notre jeton aBNB a été exploité et nous travaillons actuellement avec des bourses pour arrêter immédiatement les transactions.
— Ankr (@ankr) 2 décembre 2022
L’attaquant aurait été en mesure de frapper 20 000 milliards de BNB Ankr Reward Bearing Staked (aBNBc), un jeton de récompense pour les BNB jalonnés sur le protocole.
Selon un message Twitter de la société d’analyse en chaîne Lookonchain, l’exploiteur a depuis utilisé des services tels que Uniswap, Tornado Cash et divers ponts pour échanger et masquer les fonds afin de gagner environ 5 millions de dollars en USD Coin (USDC).
Ça aussi ajoutée dans un post suivant que « tous les actifs sous-jacents sur Ankr Staking sont en sécurité pour le moment, et tous les services d’infrastructure ne sont pas affectés ».
Semble que @ankr piraté il y a une heure !
L’exploiteur a frappé 20T aBNBc et l’a jeté sur #PancakeSwap.
À l’heure actuelle, l’exploiteur a réussi à échanger plus de 5 millions $USDC.https://t.co/hF1tgNYw0t pic.twitter.com/XIPjBi6wvs
— Lookonchain (@lookonchain) 2 décembre 2022
Dans des commentaires à Cointelegraph à propos de l’attaque, la société de sécurité blockchain Beosin a suggéré que l’exploit était probablement le résultat de vulnérabilités dans le code de contrat intelligent combinées à des clés privées compromises, ce qui pourrait avoir viens d’une mise à niveau technique par l’équipe Ankr il y a environ 12 heures.
Beosin a également noté que l’épisode de frappe massive a fait chuter le prix de l’aBNBc de 99,5 %, passant de 303,89 $ à 1,53 $ en quelques heures, selon aux données de CoinMarketCap.
@ankr a été exploité. $aBNBc a chuté de -99,5 %.
Le pirate a frappé des tonnes de $aBNBc et réalisé un bénéfice de 5 500 BNB (~ 1,6 million de dollars)
Le déployeur a remplacé le contrat d’implémentation par l’adresse de contrat vulnérable avant l’attaque (probablement en raison d’une compromission de la clé privée). pic.twitter.com/GJheXh0oDp— Alerte Beosin (@BeosinAlert) 2 décembre 2022
« Il est possible que la clé privée du déployeur ait été exposée dans cette mise à niveau, conduisant un attaquant à utiliser les privilèges du déployeur pour modifier le contrat », a déclaré un porte-parole de Beosin à Cointelegraph.
Dans un article Twitter du 2 décembre, l’échange crypto Binance confirmé son équipe est engagée avec les parties concernées pour enquêter plus avant sur la question, ajoutant que les fonds des utilisateurs de Binance ne sont pas en danger. La page Twitter de BNB Chain a également déclaré que l’adresse du portefeuille de l’exploiteur avait été mise sur liste noire.
Nous sommes au courant de l’attaque contre @ankr‘s aBNBc qui s’est produit plus tôt dans la journée, entraînant la frappe d’une quantité substantielle de nouveaux aBNBc. L’exploiteur a été mis sur liste noire.
Notre communauté est au-dessus de cela, coordonnant une réponse. Nous fournirons plus de mises à jour dès qu’elles seront disponibles.– Chaîne BNB (@BNBCHAIN) 2 décembre 2022
Cointelegraph a contacté Ankr lorsque l’exploit a été découvert pour la première fois, mais n’a pas reçu de réponse immédiate.
Mise à jour 4h30 UTC le 2 décembre : Ajouté dans une déclaration officielle des commentaires d’Ankr de Beosin.
Mise à jour à 5 h 30 UTC le 2 décembre : Ajout d’une déclaration du compte Twitter de la chaîne BNB de Binance.