Les piratages dans le domaine des crypto-monnaies sont très fréquents. Récemment, une plateforme de musique décentralisée Auduis a souffert car elle a perdu 18,5 millions de jetons AUDIO (6 millions de dollars) suite à une attaque malveillante.
Cordes cassées
Le 24 juillet, la trésorerie de la communauté Audius a perdu un montant important en raison d’un exploit dans le code d’initialisation du contrat qui a permis des invocations répétées de la fonction « initialize ». L’équipe respective a partagé ce développement sur la plateforme de médias sociaux.
Bonjour à tous – notre équipe est au courant de rapports faisant état d’un transfert non autorisé de jetons AUDIO du trésor de la communauté. Nous enquêtons activement et vous ferons rapport dès que nous en saurons plus.
Si vous souhaitez aider notre équipe d’intervention, veuillez nous contacter.
— Audius 🎧 (@AudiusProject) 24 juillet 2022
Différentes agences/entreprises se sont efforcées de publier leur rapport post-mortem pour une analyse approfondie derrière ladite attaque.
Une plate-forme analytique de sécurité crypto et blockchain nommée Certik a publié un aperçu simple pour mettre en évidence la même chose.
La @AudiusProject a été exploité pour un total d’environ 6 millions de dollars de jetons AUDIO, les jetons ont été vendus pour 705 ETH.
L’attaquant a modifié les configurations du contrat de gouvernance Audius, puis a proposé et exécuté une proposition malveillante drainant 18,5 M AUDIO. pic.twitter.com/djuAO1Jarv
— Alerte CertiK (@CertiKAlert) 24 juillet 2022
Ici, l’attaquant a modifié les configurations du contrat de gouvernance Audius, puis a proposé et exécuté une proposition malveillante drainant 18,5 millions d’AUDIO.
Jcela a permis à un attaquant de modifier le système de vote et de définir des valeurs de participation erronées dans le réseau.
Ergo, conduisant à un transfert malveillant de 18m L’AUDIO jetons détenus par le contrat de gouvernance Audius (appelé « trésorerie communautaire ») dans leur portefeuille.
Plus tard, les attaquants ont pu faire une proposition, la passer, s’envoyer tous les jetons de trésorerie, puis jette le sur Uniswap en une seule transaction. Notamment, l’attaquant a vendu 18 millions de jetons AUDIO pour 705 ETH (1,1 million de dollars).
Il semble que 6 millions de dollars en $Audio n’ont été échangés que pour un peu plus de 1 million de dollars en ETH. https://t.co/eAQDvBoTJ6 pic.twitter.com/gRf4yw3Qdv
— MistTrack🕵️ (@MistTrack_io) 24 juillet 2022
De plus, une autre entreprise, Go+ Security, a également partagé une brève analyse le 24 juillet pour mettre en évidence ladite attaque. Dans un blog, la firme a ajouté un petit organigramme affirmant le vecteur d’attaque complet.
Altérer les paramètres de vote -> soumettre une proposition malveillante -> Altérer le poids du vote -> Voter -> Exécuter la proposition
La société a en outre ajouté une analyse approfondie comprenant des captures d’écran du moment susmentionné de l’événement malheureux. Un autre enquêteur de la blockchain, Peckshield, a réduit la faute aux incohérences de la disposition du stockage d’Audius.
L’issue de @AudiusProject réside dans une disposition de stockage incohérente entre son proxy et impl. En particulier, la collision du contrat Audius Community Treasury entraîne une équivalence de la désactivation du modificateur d’initialisation. L’adresse proxyAdmin (0x..abac) joue ici un rôle. pic.twitter.com/x4CqRncahp
– PeckShield Inc. (@peckshield) 24 juillet 2022
Limiter les dégâts?
L’équipe Audius a mis à jour que les vulnérabilités avaient été corrigées, mais de nombreuses fonctionnalités telles que le transfert de jetons et l’affichage du solde n’ont pas été activées en raison de préoccupations concernant les risques.
« Cela a été réalisé en » mettant à niveau par proxy chaque contrat vers un BlockingContract minimal qui ne contenait pas le même bogue. Cela a empêché d’autres invocations répétées après avoir relégué le contrôle proxyAdmin à une adresse prédéfinie appartenant à l’équipe.
Mais cela a-t-il aidé le jeton affecté ? Eh bien pas vraiment. Le jeton a connu une chute massive sur CoinMarketCap, comme en témoigne le graphique ci-dessous.
Source : CoinMarketCap
Au moment de la rédaction de cet article, le jeton (AUDIO) a subi une nouvelle correction de 2 % en glissant au-delà de la barre des 0,33 $.
Source https://ambcrypto.com/audius-autopsy-of-6m-music-heist-reveals-some-out-of-key-notes/
