L’exploit de prêt flash Avalanche voit 371 000 $ en USDC volés | Cryptomonnaie

Le Prix De Solana Poursuit Sa Tendance Haussière, Les Analystes

L’escroc a déployé un contrat intelligent personnalisé, tirant parti d’un prêt flash de 51 millions de dollars pour manipuler le prix du pool AVAX/USDC Trader Joe LP pour un seul bloc.

Protocole de prêt basé sur les avalanches Nereus Finance a été victime d’un piratage astucieux qui a vu un utilisateur net d’une valeur de 371 000 $ en USD Coin (USDC) en utilisant un exploit de contrat intelligent.

La société de cybersécurité Blockchain CertiK a été l’une des premières à détecter l’exploit le 6 septembre, indiquant que l’attaque avait eu un impact sur les pools de liquidités de Nereus concernant l’échange décentralisé Trader Joe et le teneur de marché automatisé Curve Finance.

CertiK a également suggéré que les protocoles sous-jacents eux-mêmes étaient impactés, cependant, Curve Finance a répondu via Twitter le 7 septembre, déclarant « peut-être que vous vouliez dire » actifs impactés « et non » protocoles impactés « . Seuls @nereusfinance et ses actifs semblent impactés.

Le 7 septembre, Nereus Finance a publié un post-mortem détaillé de l’incident expliquant qu’un « exploiteur » a pu déployer un contrat intelligent personnalisé qui a utilisé un prêt flash de 51 millions de dollars d’Aave pour manipuler artificiellement l’AVAX/USDC Trader Joe LP (JLP ) prix du pool pour un seul bloc.

En conséquence, le pirate anonyme a pu frapper 998 000 jetons NXUSD natifs de Nereus contre 508 000 $ de garantie. Ils ont ensuite échangé ce capital contre différents actifs via divers pools de liquidités et ont réussi à repartir avec un bénéfice net de 371 406 $ une fois le prêt flash remboursé.

L’incident s’est terminé par la création de 500 000 $ de « créances irrécouvrables » NXUSD dans le protocole NXUSD.

L’équipe de Nereus affirme avoir rapidement remédié à la situation ; après avoir consulté des experts en sécurité, élaboré un plan d’atténuation et informé les forces de l’ordre, ils ont liquidé et suspendu le marché JLP exploité.

La créance irrécouvrable aurait été remboursée en utilisant NXUSD de la trésorerie de l’équipe.

Selon Nereus, l’exploit résultait d’une « étape manquée » dans le calcul du prix, résultant en l’opportunité d’être exploitée. Cependant, il a souligné qu ‘ »aucun fonds d’utilisateurs n’est à risque, et NXUSD continue d’être sur-garanti » et que « le protocole de prêt et d’emprunt n’a pas été affecté par cet exploit ».

Nereus est également convaincu que le même exploit ne sera pas possible une deuxième fois, car l’équipe modifiera ses « pratiques d’audit et de sécurité afin de garantir que ces types d’événements ne se reproduisent pas à l’avenir », notant :

Bien que cet exploit soit un mauvais incident, il n’est pas rare que les protocoles soient confrontés à ces types de tests de combat.

Au moment d’écrire ces lignes, l’équipe Nereus tente d’identifier le pirate et de suivre les fonds et a offert une récompense White Hat de 20 % pour le retour des fonds, sans poser de questions.

Malgré ce récent exploit de prêt flash et plusieurs autres incidents notables tout au long de l’année, le rapport mensuel d’août 2022 sur les alertes Skynet de CertiK, publié le 2 septembre, affirme qu’il y a eu une diminution notable de ces types d’attaques.

Par rapport au mois précédent, le mois d’août a vu une baisse de 95 % des attaques de prêts flash, n’entraînant qu’une perte totale de 745 244 $, la deuxième plus faible cette année.

Février a toujours la perte la plus faible enregistrée pour les exploits de prêt flash avec seulement 200 000 $.