Comment Deus Finance a été exploité pour $13.4M

L'application de finance décentralisée (DeFi) Deus Finance a été exploitée pour la deuxième fois en l'espace de deux mois. Selon des chercheurs en sécurité de PeckShield. L'exploit s'est produit sur le réseau Fantom. Après de nombreux rapports de PeckShield, l'équipe derrière le réseau Fantom a pu identifier et atténuer l'exploitation. Cependant, il y a eu des inquiétudes quant à la convivialité des protocoles DeFi en raison de leur sensibilité à des attaques telles que celles-ci dans lesquelles une grande quantité de crypto-monnaie est perdu. Le fait qu'il ne s'agisse pas d'un incident isolé devrait également être préoccupant

Deus Finance est un protocole DeFi construit sur le réseau Fantom. Il permet aux utilisateurs de gagner des intérêts sur leurs avoirs en crypto-monnaie en les jalonnant dans le protocole. Les taux d'intérêt sont variables et dépendent du montant de la devise mise en jeu. Deus Finance permet aux développeurs de créer des services financiers tels que le trading à terme, les prêts et les options sur sa plateforme.

Les attaquants ont pu exploiter une faille dans le protocole Deus Finance et créer de nouveaux jetons sans avoir à en mettre en jeu. L'attaque a utilisé un prêt flash pour tromper la façon dont les contrats intelligents de Deus lisent les données sur les pools de liquidités de la plateforme. Cela a permis à l'attaquant de gonfler artificiellement la valeur de certains actifs, d'emprunter des fonds et de réaliser un profit après avoir remboursé le prêt.

Quelque $143 millions ont été empruntés sous forme de prêt flash, semblent montrer les données de la blockchain. Le pirate a pu réaliser un bénéfice de $13,4 millions. PeckShield a déclaré que les pertes totales du protocole pourraient être beaucoup plus élevées.

En utilisant le prêt flash, les attaquants de Deus ont pu manipuler temporairement les prix sur un pool de liquidités composé du stablecoin USD Coin (USDC) et DEI, et utiliser le prix DEI manipulé pour emprunter et vider le pool. L'attaquant aurait ensuite remboursé le prêt en utilisant l'USDC, avant de retirer à la fois l'USDC et la DEI.

Les prêts flash permettent aux utilisateurs de DeFi de contracter des prêts sans aucune garantie. Ce n'est pas de la crypto-magie ou de l'argent gratuit : le prêt doit être remboursé avant la fin de la transaction ou le contrat intelligent annule la transaction - comme si le prêt n'avait jamais existé.

La nouvelle du piratage a envoyé une onde de choc dans la communauté DeFi, certains utilisateurs pointant du doigt le cabinet d'audit Certik, qui avait audité les contrats intelligents de Deus. Cependant, dans une déclaration publiée aujourd'hui, Certik a déclaré avoir utilisé un outil d'audit logiciel tiers qui n'a pas été en mesure de détecter le problème.

Certik a déclaré qu'elle procéderait désormais à des audits supplémentaires, améliorerait son processus actuel et travaillerait avec d'autres auditeurs de contrats intelligents pour établir les meilleures pratiques en matière de tests automatisés de sécurité des contrats. Au moment d'écrire ces lignes, on ne sait toujours pas qui est derrière cette attaque.

Ce n'est pas la première fois qu'un prêt flash est utilisé pour exploiter un protocole DeFi. En février, un attaquant a utilisé un prêt flash pour exploiter Compound, un autre protocole DeFi où les utilisateurs peuvent gagner des intérêts sur leurs actifs cryptographiques. À la suite de l'exploit, $13,4 millions ont été volés à Deus Finance. Même si l'attaque s'est produite en 2020, ce n'est que maintenant que l'équipe derrière Deus Finance a divulgué ses détails alors qu'elle travaillait pour restaurer tous les fonds perdus.

L'équipe Deus dit qu'elle a déjà résolu le problème et travaille à récupérer les fonds. Il a également interrompu toutes les transactions sur la plate-forme pendant qu'il procédait à un audit complet

Dernières nouvelles