Bilan des incidents de sécurité Web3 du mois de mars : pertes totales d'environ 139 millions de dollars
TechFlow SélectionTechFlow Sélection
Bilan des incidents de sécurité Web3 du mois de mars : pertes totales d'environ 139 millions de dollars
En mars 2024, 33 incidents de sécurité se sont produits, entraînant une perte totale d'environ 139 millions de dollars américains, dus à des vulnérabilités de contrat, des malversations internes, des attaques par prêt flash, des fuites de clés privées et des comptes piratés, entre autres causes.
Dédié à des analyses Web3 approfondiesRédaction : Équipe de sécurité SlowMist
Aperçu
Selon les statistiques de la base d'archives des piratages blockchain de SlowMist, 33 incidents de sécurité se sont produits en mars 2024, entraînant une perte totale d'environ 139 millions de dollars américains. Les causes incluent des vulnérabilités de contrats intelligents, des malveillances internes, des attaques par prêt flash, des fuites de clés privées et des comptes piratés.
Principaux incidents
WOOFi
Le 5 mars 2024, l'algorithme sPMM de WOOFi, chargé du contrôle des prix des échanges sur le DEX WOOFi sur Arbitrum, a été exploité. Cette exploitation a été réalisée via une série de prêts flash : l'attaquant a manipulé le prix du WOO en exploitant une faible liquidité, puis a remboursé les prêts flash à un prix inférieur. L'attaquant a répété cette opération trois fois en très peu de temps, réalisant un profit d'environ 8,75 millions de dollars après remboursement des prêts.
(https://twitter.com/_WOOFi/status/1765150687166415129)
Unizen
Le 9 mars 2024, la plateforme DeFi Unizen a subi une attaque entraînant une perte d'environ 2,1 millions de dollars en USDT. L'attaque a exploité une vulnérabilité dans les appels externes du contrat intelligent du projet. Le 12 mars, le CTO d'Unizen, Martin Granström, a publié un tweet indiquant avoir récupéré des fonds volés d'une valeur de 185 000 dollars auprès de quatre hackers.
(https://twitter.com/SlowMist_Team/status/1766311510362734824)
(https://twitter.com/MartinGranstrom/status/1767279080380973084)
Mozaic
Le 15 mars 2024, le projet DeFi Mozaic a été attaqué, entraînant un vol d'environ 2 millions de dollars. Selon Mozaic, ce vol a été perpétré par un développeur ayant réussi à obtenir les clés privées détenues par des membres clés de l'équipe. Mozaic a également indiqué qu'environ 90 % des fonds volés avaient été gelés sur MEXC.
(https://twitter.com/Mozaic_Fi/status/1768754080271196178)
Remilia
Le 17 mars 2024, le portefeuille chaud et le coffre multi-signatures de Remilia, société mère de Milady, ont été piratés, entraînant le transfert et la vente d'actifs depuis plusieurs portefeuilles officiels de Remilia. Charlotte Fang, fondatrice de Milady, a annoncé sur Twitter avoir été victime d'un piratage. Bien que le département financier utilise un système de signatures multiples, les clés privées étaient stockées dans un gestionnaire de mots de passe qui aurait été compromis. L'attaquant a dérobé environ 490 ETH (environ 1,8 million de dollars), 58 000 dollars en USDC, plus de 130 NFT Milady, 320 NFT Remilio et des centaines de jetons dérivés émis sur la plateforme NFTX. La valeur totale de ces actifs dépasse 6 millions de dollars selon le prix minimum.
(https://twitter.com/CharlotteFang77/status/1769128702561198519)
Dolomite
Le 20 mars 2024, un ancien contrat du protocole d'échange décentralisé Dolomite, dans l'écosystème Arbitrum, a été attaqué en raison d'une vulnérabilité présente sur le réseau principal Ethereum. Environ 187 victimes ont subi des pertes d'actifs, totalisant 1 245 271 USDC, 94 423 DAI et 165,9 WETH (soit environ 1,8 million de dollars). Au 24 mars, avec l'aide de l'équipe de sécurité SlowMist et d'autres partenaires, Dolomite avait récupéré 90 % des fonds volés. L'équipe de Dolomite a exprimé sa reconnaissance envers l'équipe de sécurité SlowMist.
(https://twitter.com/Dolomite_io/status/1773845966707454026)
Super Sushi Samurai
Le 22 mars 2024, le nouveau jeu blockchain Super Sushi Samurai, basé sur la couche 2 Blast, a été attaqué en raison d'une vulnérabilité dans son contrat de jeton, causant une perte d'environ 4,6 millions de dollars. Peu après le vol, l'attaquant a contacté le projet en affirmant être un « chapeau blanc ». Super Sushi Samurai a ensuite confirmé que les fonds avaient été restitués, dont 5 % versés sous forme de prime.
(https://twitter.com/SSS_HQ/status/1771054306520867242)
Curio Ecosystem
Le 24 mars 2024, l'infrastructure RWA Curio Ecosystem a été attaquée, subissant une perte d'environ 16 millions de dollars, impliquant des contrats intelligents basés sur MakerDAO au sein de son écosystème. La cause probable serait une vulnérabilité logique dans le contrôle d'accès, permettant à l'attaquant de frapper 1 milliard supplémentaire de jetons CGT.
(https://twitter.com/curio_invest/status/1771635979192774674)
Munchables
Le 27 mars 2024, le projet Munchables de l'écosystème Blast a été attaqué, perdant environ 62,5 millions de dollars. Ce jour-là, Pacman, fondateur de Blast, a tweeté : « Les contributeurs principaux de Blast ont récupéré via signature multiple un montant de 97 millions de dollars. Nous remercions l'ancien développeur de Munchables d'avoir choisi de restituer intégralement les fonds, sans demande de rançon. »
(https://twitter.com/PacmanBlur/status/1772871466935013701)
Prisma Finance
Le 28 mars 2024, le protocole de prêt décentralisé Prisma Finance a été attaqué, avec une perte totale d'environ 3 257,7 ETH (soit environ 11,6 millions de dollars). La cause réside dans le fait que la fonction onFlashloan du contrat MigrateTroveZap ne valide pas correctement les entrées, permettant à l'attaquant de falsifier des données de migration et d'effectuer un transfert non autorisé de collatéraux, nuisant ainsi aux utilisateurs légitimes de Prisma Finance.
(https://twitter.com/PrismaFi/status/1773316945430852058)
Le même jour, une adresse commençant par 0x2d4, identifiée comme l'un des attaquants de Prisma Finance, a envoyé un message au projet : « Cette action était un sauvetage en tant que chapeau blanc. À qui puis-je m'adresser pour restituer les fonds ? » Toutefois, les communications ultérieures entre les deux parties semblent s'être mal passées.
(https://etherscan.io/idm?addresses=0x2d413803a6ec3cb1ed1a93bf90608f63b157507a,0xd8531a94100f15af7521a7b6e724ac4959e0a025&type=1)
Solana
Récemment, l'écosystème Solana fait face à une série de vols de portefeuilles. Bien que la cause exacte n'ait pas encore été confirmée, certains vols seraient liés à des robots commerciaux similaires à Solareum. Selon le chercheur en sécurité Plum, une vulnérabilité dans le robot commercial Telegram de Solareum a entraîné une perte d'environ 1 million de dollars en SOL.
(https://twitter.com/Plumferno/status/1774549022813872164)
Conclusion
Parmi les 33 incidents de sécurité de ce mois-ci, 4 projets (Munchables, Super Sushi Samurai, Dolomite et Unizen) ont récupéré environ 68,46 millions de dollars de fonds volés ;
Les 3 incidents dus à des malveillances internes ont entraîné des pertes de 65,4 millions de dollars, représentant 46,9 % des pertes totales du mois. L'équipe de sécurité SlowMist recommande aux projets de soigneusement examiner leurs mesures de sécurité internes et de renforcer le contrôle d'accès aux informations sensibles et aux actifs ;
Les 8 exploitations de vulnérabilités de contrats ont causé environ 36,89 millions de dollars de pertes. L'équipe de sécurité SlowMist recommande aux projets de rester vigilants, de procéder régulièrement à des audits de sécurité, de suivre et de corriger rapidement les nouvelles menaces et vulnérabilités afin de protéger au maximum leurs projets et actifs ;
Enfin, les événements recensés ici constituent les principaux incidents de sécurité du mois ; les cas de vols individuels n'ont pas été inclus dans cette analyse. Pour davantage d'incidents de sécurité blockchain, veuillez consulter la base d'archives des piratages blockchain de SlowMist (https://hacked.slowmist.io/). Cliquez sur « lire l'article original » pour y accéder directement.
Bienvenue dans la communauté officielle TechFlow
Groupe Telegram :https://t.me/TechFlowDaily
Compte Twitter officiel :https://x.com/TechFlowPost
Compte Twitter anglais :https://x.com/BlockFlow_News
@SlowMist_Team
