Une récente exploitation de contrats de prêt non vérifiés sur la blockchain Base a laissé la plateforme sous le choc après avoir entraîné une perte d'environ un million de dollars. L'incident a été initialement signalé. rapporté par la société de sécurité blockchain Cyvers Alerts le 25 octobre, qui s'est rendue sur la plateforme de médias sociaux X pour partager la mise à jour.
Selon Cyvers, l'attaquant a profité d'une faille grave dans les contrats intelligents liés à Wrapped Ether (WETH).
Exploit de la blockchain de base : comment il s'est déroulé
L'attaque aurait débuté par une transaction unique au cours de laquelle l'attaquant aurait extrait environ 993 534 $ en manipulant les données de prix du contrat. Cette faille, mentionnée précédemment, a permis à l'attaquant de manipuler la valeur des actifs sur la blockchain Base, lui permettant ainsi de s'enfuir facilement avec les fonds volés.
La plupart des fonds initialement transférés par l'attaquant ont été transférés sur le réseau Ethereum. Par la suite, l'attaquant a déposé environ 202 549 $ sur Tornado Cash afin de brouiller les pistes. Des fonds supplémentaires totalisant 455 127 $ ont été détournés grâce au même exploit.
Hakan Unal, analyste en sécurité principal de Cyvers Alerts, a imputé la récente faille au manque de fiabilité de l'oracle utilisé par les contrats concernés. L'attaquant a ainsi pu plus facilement déclencher une variation de prix et exploiter la valeur manipulée.
Unal a ensuite suggéré qu'un « oracle plus fiable, diversifié et avec une liquidité plus élevée » pourrait être utilisé pour éviter la manipulation des prix et prévenir des attaques similaires à l'avenir, en particulier « pour des actifs comme WETH ».
Problèmes de sécurité liés à la finance décentralisée (DeFi)
La récente violation vient rappeler les risques associés à la finance décentralisée (DeFi) plateformes. Cela est particulièrement vrai lorsque les protocoles de sécurité autour des contrats intelligents sont faibles.
Pour ces raisons, les experts suggèrent que les plateformes DeFi devraient faire preuve de diligence dans la vérification des contrats de prêt.
En améliorant les protocoles de sécurité, ces plateformes seront en mesure de mieux protéger les fonds des utilisateurs et d’empêcher que des événements similaires à celui qui vient de se produire à Base ne se reproduisent.
L'agresseur reste non identifié et n'a pas encore été retrouvé après ce vol de grande ampleur.
