Un pirate informatique a volé 1,6 million de dollars après avoir exploité un bug de polygone

L’équipe de développement de base de Polygon a révélé qu’un bogue critique dans l’un de ses contrats a été brièvement exploité pour 1,6 million de dollars.

Polygon a été secrètement hardforked pour corriger un bug critique

Polygon, une sidechain Proof-of-Stake sur Ethereum, a été brièvement piraté plus tôt ce mois-ci en raison d’un bug corrigé plus tard via un hard fork le 5 décembre. Avant le hard fork, un pirate inconnu a volé 1,6 million de dollars en jetons MATIC, l’équipe révélé dans un article de blog jeudi, 24 jours après l’événement.

Dans la première semaine de décembre, Leon Spacewalker et Whitehat2, deux hackers éthiques associés à la plateforme de bug bounty Immunefi, ont informé Polygon d’une vulnérabilité. Le bug a été trouvé dans la fonction de transfert de son contrat MRC20 utilisé pour les transactions sans gaz sur le réseau.

Une fois le bogue signalé, Polygon a corrigé le bogue en tirant parti d’un hard fork furtif travaillant avec tous ses validateurs et opérateurs de nœuds. Même si la vulnérabilité a été corrigée en quelques jours, elle n’a pas pu empêcher un pirate informatique inconnu de voler 801 601 jetons MATIC d’une valeur de 1,6 million de dollars à l’époque. Dans une autopsie, l’équipe a rapporté :

« Malgré tous nos efforts, un pirate informatique malveillant a pu utiliser l’exploit pour voler 801 601 MATIC avant que la mise à niveau du réseau ne prenne effet. »

La situation aurait pu être bien pire si cela avait été retardé davantage. Immunefi, qui a aidé Polygon à déployer le correctif, a déclaré dans un autre article de blog que si le bogue de Polygon n’avait pas été signalé, les pirates informatiques auraient pu drainer environ 9,2 milliards de jetons MATIC d’une valeur d’environ 20 milliards de dollars à l’époque.

Commentant les mesures prises par l’équipe pour corriger la vulnérabilité, le cofondateur de Polygon, Jaynti Kanani, a déclaré que l’équipe « a pris les meilleures décisions possibles compte tenu des circonstances ».

Polygon a versé des primes d’environ 3,46 millions de dollars aux pirates éthiques qui ont signalé le bogue. En outre, l’équipe a déclaré qu’elle assumerait le coût des jetons MATIC volés.

Ce n’était pas la première fois qu’un bogue critique était découvert et corrigé sur Polygon. En octobre 2021, Polygon a corrigé un bogue critique sur son pont plasma qui disposait de 850 millions de dollars de fonds bloqués.

Polygon n’a pas précisé pourquoi le piratage n’a pas été rendu public pendant 24 jours. Les représentants du projet n’ont pas répondu à la demande de commentaires.

Divulgation: Au moment de la rédaction, l’auteur de cet article possédait ETH, MATIC et d’autres crypto-monnaies.