Un pirate a utilisé un ancien contrat de redevances sur la plateforme Polygon et s'est enfui avec environ 261 200 $ en cryptomonnaie récemment. La firme de sécurité TenArmorAlert a identifié la transaction inhabituelle le 23 juin et a retracé la transaction d'exploitation.
La blockchain montre que le pirate a mené l'attaque en utilisant la transaction du bloc Polygon 89 018 051. Selon TenArmorAlert, le pirate a réussi à retirer environ 263 800 $ malgré le montant initial relativement faible. L'attaque a visé l'ancien programme de redevances et non la structure fondamentale de la blockchain Polygon.
Un mauvais calcul dans la détermination des récompenses a permis des retraits excessifs
Selon TenArmorAlert, l'attaque a été rendue possible par des problèmes dans le mécanisme de calcul des récompenses et leur comptabilisation. La société de sécurité CertiK a découvert un problème avec la fonction Royal1155LD.beforeLdaTransfer() dans le contrat exploité.
Les chercheurs indiquent que l'attaquant a effectué plusieurs transactions de valeur nulle, manipulant ainsi le calcul des récompenses et les numéros de propriété. Cette vulnérabilité a permis à l'attaquant d'augmenter le solde du jeton dans certaines conditions.
Defimon Alerts a également fourni d'autres recherches de DecurityHQ. Dans ce cas, les experts ont conclu que des erreurs de calcul des redevances ont conduit à l'exploitation. De cette façon, de faux numéros de propriété permettaient de réclamer des récompenses excessives. De plus, l'attaquant a utilisé un flash loan (prêt éclair) pour exploiter ce contrat. Après avoir remboursé le montant emprunté, l'attaquant a conservé le reste de l'argent comme profit.
Toujours vulnérable aux menaces de sécurité
La dernière attaque survient dans le contexte d'autres attaques similaires sur des versions plus anciennes de projets de finance décentralisée ainsi que sur des déploiements de contrats intelligents dormants. Les attaquants ont récemment exploité certains anciens contrats de Huma Finance et ont volé environ 101 400 $.
Les chercheurs mettent en garde les développeurs contre les dangers potentiels de conserver des versions anciennes de contrats intelligents avec des fonds disponibles. L'équipe doit auditer, mettre à jour, désactiver ou supprimer complètement l'ancien déploiement afin d'atténuer le risque d'attaques potentielles. Les développeurs de Polygon ont confirmé que les attaquants n'ont pas pu menacer la sécurité du réseau principal de la blockchain.
Actualité cryptographique à la une :
L'exploit de SecondFi expose les clés de portefeuille, mettant plus de 20 millions de dollars d'actifs Cardano en danger
