Désastre DeFi : Le protocole Onyx perd 3,8 millions de dollars lors d'un deuxième hack exploitant une vulnérabilité connue

Le protocole Onyx victime d'un piratage DeFi de 3,8 millions de dollars exploitant une vulnérabilité connue dans le code

Jeudi, le protocole Onyx, une plateforme de finance décentralisée (DeFi) et un dérivé de Compound Finance, a été piraté, entraînant une perte de 3,8 millions de dollars. Les attaquants ont exploité un problème de précision connu dans le code du protocole, hérité du code de Compound V2. En manipulant des marchés presque vides, ils ont réussi à gonfler artificiellement les taux de change et à siphonner des millions en diverses cryptomonnaies.

Les sociétés de sécurité PeckShield et Cyvers ont détecté et signalé les transactions suspectes. Estimant initialement la perte à 3,2 millions de dollars, elles l'ont par la suite réévaluée à 3,8 millions de dollars. Les actifs volés comprennent :

4,1 millions de VUSD
7,35 millions de XCN
5 000 DAI
0,23 WBTC
50 000 USDT

Cette attaque ressemble à une précédente exploitation du même protocole en octobre 2023, où 2,1 millions de dollars avaient été perdus en raison d'une vulnérabilité similaire impliquant des erreurs d'arrondi dans le code.

Qui est impliqué ?

Protocole Onyx : Une plateforme DeFi qui permet aux utilisateurs de prêter et d'emprunter des cryptomonnaies.
Attaquants : Des hackers non identifiés qui ont exploité la vulnérabilité du code.
PeckShield et Cyvers : Sociétés de sécurité Web3 qui ont détecté et signalé le piratage.
Hexagate : Une société de sécurité qui a fourni des recommandations pour prévenir de tels exploits.

Où et quand cela s'est-il produit ?

Date : L'attaque a eu lieu un jeudi (date spécifique non fournie).
Lieu : Étant un protocole DeFi, l'incident s'est produit sur le réseau blockchain où opère le protocole Onyx.

Pourquoi et comment cela s'est-il produit ?

Les attaquants ont exploité un problème de précision dans le code dérivé de Compound V2, ciblant spécifiquement des marchés presque vides pour manipuler les taux de change. Cette vulnérabilité provient d’erreurs d'arrondi dans le code, qui peuvent être manipulées lorsque l'offre totale d'un marché est proche de zéro. En exploitant cette faille, les attaquants ont pu retirer plus d'actifs qu'ils n'avaient déposés.

Points essentiels à retenir

Exploitation de vulnérabilités connues : L'attaque a tiré parti d'un problème de précision connu dans le code de Compound V2, soulignant les risques liés à l'héritage de vulnérabilités lors du fork de code.
Perte financière importante : Le protocole Onyx a perdu 3,8 millions de dollars, avec de grosses pertes en VUSD stablecoin, mettant en évidence les risques financiers associés aux protocoles DeFi.
Attaques répétées : C'est le deuxième grand piratage du protocole Onyx en 2023, indiquant des problèmes de sécurité persistants et un manque de mesures préventives adéquates.
Importance des audits de sécurité : L'incident souligne la nécessité d'audits de sécurité approfondis et de surveillance communautaire dans les projets DeFi.
Implications plus larges pour DeFi : Le piratage s'ajoute à une série d'attaques dans l'industrie des cryptomonnaies, soulignant le défi permanent de sécuriser les protocoles DeFi contre les vulnérabilités connues.

Analyse approfondie

Vulnérabilités sous-jacentes

Le piratage du protocole Onyx est un rappel évident des risques inhérents à l'écosystème DeFi, en particulier lorsque les protocoles sont construits sur du code forké sans corriger les vulnérabilités existantes. Les attaquants ont exploité un problème de précision, une vulnérabilité déjà connue et exploitée lors d'attaques précédentes sur d'autres protocoles comme Hundred Finance et Midas Capital.

Problème de précision dans le code de Compound V2

Erreurs d'arrondi : La vulnérabilité découle d'erreurs d'arrondi dans le code qui peuvent être manipulées lorsque l'offre totale d'un marché est proche de zéro.
Marchés vides : Les attaquants ciblent des marchés presque vides pour gonfler artificiellement les taux de change, leur permettant de retirer plus d'actifs qu'ils n'en avaient déposés.

Manque de surveillance communautaire

Participation minimale à la gouvernance : La proposition 22, qui a créé le marché de prêt PEPE vulnérable, n'a reçu qu'un soutien communautaire minimal, avec seulement 11 votes provenant principalement d'une seule adresse.
Recommandations de sécurité ignorées : Les sociétés de sécurité ont conseillé de frapper et d'annuler les cTokens lors du lancement de nouveaux marchés pour s'assurer que l'offre totale n'atteigne jamais zéro, une recommandation qui semble avoir été ignorée.

Stratégies de prévention et d'atténuation

Hexagate, une société de sécurité, recommande les mesures suivantes :

Frappage et annulation de cTokens : Lors du lancement de nouveaux marchés, s'assurer que l'offre totale n'atteigne jamais zéro pour prévenir la manipulation des taux de change.
Engagement communautaire : Augmenter la participation de la communauté à la gouvernance pour améliorer la surveillance et le contrôle des nouvelles propositions.
Audits de sécurité réguliers : Mener des audits de sécurité approfondis et réguliers, en particulier lors de l'héritage de code d'autres projets.
Mettre en œuvre des protocoles de sécurité multi-niveaux : Utiliser des portefeuilles multisignatures et l'authentification à deux facteurs pour ajouter des couches de sécurité.

Implications plus larges pour l'industrie DeFi

L'attaque contre le protocole Onyx souligne plusieurs problèmes critiques :

Risques du code forké : Hériter de code sans corriger les vulnérabilités existantes peut propager des failles de sécurité à travers plusieurs plateformes.
Besoin de mesures de sécurité renforcées : À mesure que la DeFi se développe, la sophistication des attaques augmente, nécessitant des protocoles de sécurité plus robustes.
Importance de la gouvernance communautaire : La participation active de la communauté est essentielle pour la détection précoce et la prévention de vulnérabilités potentielles.
Défis liés au code open-source : Bien que l'open-source favorise l'innovation, cela signifie également que les vulnérabilités sont transparentes et peuvent être exploitées si elles ne sont pas traitées correctement.

Le saviez-vous ?

Risques liés à l'open-source : Bien que le code open-source permette un développement rapide et une innovation, il peut également répandre des vulnérabilités à travers plusieurs projets si les défauts d'origine ne sont pas corrigés.
Piratages DeFi en 2023 : Le piratage du protocole Onyx s'ajoute à une liste de plus en plus longue de piratages DeFi en 2023, avec des attaquants exploitant des vulnérabilités dans les contrats intelligents pour voler des millions.
Importance des cTokens : Les cTokens sont des jetons générant des intérêts utilisés dans les protocoles basés sur Compound. Une manipulation appropriée des cTokens est cruciale pour éviter des vulnérabilités comme celle exploitée dans le piratage d'Onyx.
Gouvernance communautaire : Les protocoles DeFi s'appuient souvent sur la gouvernance communautaire pour la prise de décisions. Une faible participation peut mener à des propositions non contrôlées qui peuvent introduire des risques de sécurité.
Rôle des sociétés de sécurité : Des entreprises comme PeckShield et Cyvers jouent un rôle essentiel dans la détection et le signalement d'activités suspectes, contribuant à atténuer l'impact des piratages.

La perte de 3,8 millions de dollars chez le protocole Onyx sert de rappel majeur de la nécessité critique d'un renforcement des protocoles de sécurité et d'une surveillance communautaire vigilante dans le paysage DeFi en évolution rapide. À mesure que l'industrie continue de mûrir, il sera essentiel de prioriser la sécurité et une gouvernance robuste pour protéger les actifs et maintenir la confiance des utilisateurs.