Attaque DeFi – Le protocole Cornichon (Pickle) se fait dévorer 20 millions de dollars
23 novembre 2020 - 09:30
Temps de lecture : 3 minutes
Par Hugh B.
Difficile de débuter cet article sans tomber dans la répétition. Une question que ne se posent visiblement pas les protocoles de la DeFi. Surtout lorsqu’il est question d’attaques de leurs pools de liquidité. Au point que cela commence presque à ressembler à un passage obligé pour confirmer son appartenance à ce club de la finance 2.0. Le tout avec des butins dérobés qui se comptabilisent maintenant en dizaines de millions de dollars. Et le dernier en date se nomme le protocole Pickle (cornichon).
Cela devient lassant. Et ce n’est très certainement pas la publicité dont souhaite bénéficier la DeFi qui enregistre un retour à la hausse depuis quelques semaines. Pourtant cela ne peut pas être ignoré vu l’ampleur du nombre de ces attaques et leur caractère très (trop) répétitif. Le tout reposant la plupart du temps sur une technique presque identique qui a même bénéficié de l’appellation un peu trop réductrice d’attaques de type flashloan.
Une réalité inquiétante qui vient placer les protocoles de la DeFi en tête du nombre des attaques perpétrées dans l’univers des cryptomonnaies pour cette année 2020. Cela avec un total cumulé qui représente plus de 50% de ces détournements de fonds.
Un chiffre qui devrait malheureusement et sans grande surprise encore augmenter avant le 31 décembre. En particulier du fait de la régularité avec laquelle ces exploitations de failles se reproduisent. Et le peu de réactivité des développeurs pour s’en inquiéter avant que cela ne se produise.
Une attaque de Cornichon à 20 millions de dollars
L’univers de la DeFi a au moins ce mérite de nommer ses protocoles sans se soucier du sérieux. Ce qui permet de faire quelques titres sympas dans les articles qui abordent leurs attaques. Tout cela sur fond d’une version dégénérée (degens) de son univers qui s’amuse peut-être plus qu’elle ne développe le sérieux de ses projets. Ces derniers figurant pourtant en tête de l’innovation du secteur. Avec les erreurs et dérapages que cela peut impliquer.
Une réalité qui vient de frapper de plein fouet l’un des pots de liquidité du protocole Pickle.finance durant le week-end. Affaire mise à jour sur Twitter par un utilisateur ayant constaté le siphonnage de son pool de liquidité cDAI. Le tout pour un montant proche de 20 millions de dollars encore visibles dans son intégralité sur cette adresse grâce au site Etherscan. Soit 19 759 355 DAI très exactement.
Une simple phrase affichée dans un bandeau rouge indique sur le site du protocole Pickle que les dépôts dans la pool concernée sont à éviter.
« Nous enquêtons actuellement sur un problème avec le DAI Jar & Farm. Merci de ne pas y effectuer de dépôt pour le moment. » Protocole Pickle
Une enquête a immédiatement été lancée pour tenter de comprendre le processus de cette attaque. Cela avec l’aide d’une équipe de hackers White Hat, version éthique de cet univers. Et il semble que celle-ci ait été réalisée sans avoir recours à un prêt de type flashloan.
Ceci n’est pas une attaque flashloan
Les recherches ont été menées à terme durant le week-end. Une procédure longue et complexe qui a abouti à une publication détaillée pour en expliquer le fonctionnement. Et il semble que la technique utilisée lors de cette attaque soit pour le moins innovante et élaborée.
« La première étape a consisté à effectuer une rétro-ingénierie de la transaction et à voir si nous pouvons écrire le code pour répliquer l’attaque. Après de nombreuses heures, l’équipe (qui compte désormais plus de 10 personnes) a finalement compris comment elle avait été exécutée. » Protocole Pickle
Cela sous la forme d’une réplication malveillante des pots de ce protocole. Ces derniers ayant la même interface que leurs versions officielles, mais une destination corrompue par le hacker. C’est en tout cas ce qu’explique un certain Emiliano Bonassi dans un Thread détaillé sur Twitter. Ce dernier se présentant comme un hacker White Hat dans cette histoire.
Un détournement de fonds qui intervient en plein développement du protocole Pickle. Ce dernier bénéficiait en effet de la récente attaque du son homologue Harvest il y a tout juste un mois. Une affaire de chaises musicales dans l’univers des Yield Farmers dont le rythme semble dicté par les siphonnages de pools de liquidité.
Et une réalité qui a vu le jeton PICKLE effectuer une plongée de plus de 60% de son cours durant le week-end.
Restons connectés
7,831 followers
17,800 followers
136,000 followers
1,247 followers