Une tempête inachevée : la fuite des clés privées du portefeuille pump.science
TechFlow SélectionTechFlow Sélection
Une tempête inachevée : la fuite des clés privées du portefeuille pump.science
Une tempête inachevée.
Dédié à des analyses Web3 approfondiesRédaction : Karen, Foresight News
Le 25 novembre au soir, une adresse identifiée comme créatrice de RIF et URO sur pump.fun a lancé le jeton Urolithin B (URO), induisant en erreur de nombreux membres de la communauté qui ont cru qu'il s'agissait d'un lancement officiel par pump.science. Le jeton Urolithin B (URO) a rapidement « gradué » et, deux minutes après l'ajout de liquidités, sa capitalisation boursière a brièvement atteint 10 millions de dollars avant de chuter fortement, revenant actuellement à environ 100 000 dollars.
Cet événement semble également avoir affecté la performance des marchés d'Urolithin A (URO) et de Rifampicin (RIF), dont les cours ont tous deux chuté de plus de 30 % en 24 heures. Alors, que s'est-il réellement passé ?
Fuite des clés du portefeuille de pump.science
La cause initiale de cet incident est la fuite des clés privées du portefeuille de pump.science.
Selon l'équipe officielle de pump.science, en raison d'une négligence dans leur dépôt GitHub, l'adresse T5j2UBTvLYPCwDP5MVkSALN7fwuLFDL9jUXJNjjb8sc a été compromise. Les attaquants ont découvert les clés dans le code source du site web. Cette paire de clés avait été utilisée initialement à des fins de test dans le dépôt GitHub de pump.science, et l'équipe de développement n'en avait pas perçu l'importance.
D'après la page du faux jeton URO apparu hier soir sur pump.fun, on constate que le portefeuille ayant déployé ce faux jeton est bien l'adresse T5j2UBTvLYPCwDP5MVkSALN7fwuLFDL9jUXJNjjb8sc. La plateforme pump.fun indique que cette même adresse a précédemment déployé hors chaîne les deux jetons officiels Urolithin A (URO) et Rifampicin (RIF), dont les valorisations actuelles sont respectivement d’environ 87 millions et 37 millions de dollars.
Le jeton frauduleux URO a été émis sur la chaîne par l’adresse commençant par T5j2UBT, détenteur des clés compromises. C’est pourquoi pump.fun affiche que le nouveau jeton a été publié par le même créateur que les jetons officiels URO et RIF.
pump.science précise que ce portefeuille est marqué sur pump.fun comme étant le créateur hors chaîne des jetons URO et RIF, et que les attaquants pourraient utiliser ce portefeuille pour émettre davantage de jetons. Tout jeton autre qu'URO ou RIF émis par ce portefeuille doit être considéré comme frauduleux.
Il convient de noter que l’équipe officielle de pump.science n’a pris aucune mesure de remboursement ni de compensation envers les utilisateurs ayant acquis par erreur le jeton URO frauduleux, ce qui a suscité une vive attention et de nombreuses discussions au sein de la communauté.
La fonctionnalité de création hors chaîne de pump.fun provoque confusion sur les explorateurs et outils de données
Un autre point source de confusion pour la communauté concerne l'affichage du créateur du jeton sur pump.fun, les explorateurs de blockchain et les outils de données.
Les jetons officiels URO et RIF de pump.science ont été créés hors chaîne via pump.fun, tandis que le faux URO a été créé sur chaîne via la même plateforme. Pourtant, l'explorateur de blockchain Solscan affiche que l'adresse déployant Urolithin A (URO) et Rifampicin (RIF) est : BLDRZQiqt4ESPz12L9mt4XTBjeEfjoBopGPDMA36KtuZ.
Examinons donc brièvement la fonction de création hors chaîne de pump.fun. Sur cette plateforme, la création hors chaîne est gratuite ; le jeton n’est pas immédiatement inscrit sur la blockchain, mais seulement au moment du premier achat, qui doit alors couvrir le coût de mise en œuvre. Ainsi, pour les jetons créés hors chaîne, le premier acheteur se voit souvent attribuer à tort par les explorateurs comme Solscan ou les outils de données comme GMGN le statut de « déployeur du jeton ».
Par exemple, après la création hors chaîne des jetons officiels URO et RIF, l’adresse du premier acheteur, BLDRZQiqt4ESPz12L9mt4XTBjeEfjoBopGPDMA36KtuZ, a été incorrectement marquée par Solscan ou GMGN comme étant celle du créateur du jeton.
À cet égard, nous rappelons aux investisseurs de faire preuve de vigilance lors de l’investissement dans des jetons Meme, en vérifiant soigneusement si un jeton a été créé sur ou hors chaîne sur pump.fun afin d’éviter les pièges frauduleux. Par ailleurs, restez particulièrement méfiants face à tout nouveau jeton émis depuis l’adresse commençant par T5j2UBTvLY, compromise par pump.science. Enfin, nous espérons que les plateformes et les émetteurs renforceront leurs mesures de sécurité pour empêcher la répétition de tels incidents.
Bienvenue dans la communauté officielle TechFlow
Groupe Telegram :https://t.me/TechFlowDaily
Compte Twitter officiel :https://x.com/TechFlowPost
Compte Twitter anglais :https://x.com/BlockFlow_News
Foresight News
