Décentralisé et sans défense : comment les hacks DeFi se produisent

Le nombre d’attaques visant les plateformes DeFi ne cesse d’augmenter. Rien d’étonnant, puisque des dizaines de milliards de dollars circulent dans la finance décentralisée. Selon les experts, la principale cause de ces attaques réside dans le développement rapide du secteur DeFi, des tests insuffisants et l’absence d’audits de sécurité, car de nombreux projets se précipitent sur le marché. Les hackers emploient diverses méthodes pour dérober des cryptos, mais la cause la plus fréquente reste les failles dans les smart contracts.

Les smart contracts sont au cœur de l’écosystème de la finance décentralisée. Comme tout logiciel, ils sont conçus par des humains, ce qui implique un risque permanent d’erreur dans le code ou la configuration. Si un smart contract présente une vulnérabilité, l’application décentralisée qui s’appuie dessus sera elle aussi exposée, ouvrant la porte aux attaquants.

Top 5 des plus grands hacks DeFi en 2022

L’année dernière a été marquée par de nombreux piratages de cryptomonnaies. Selon un rapport de Chainalysis, les hackers ont dérobé au total 3 milliards de dollars en coins et tokens. Les vols les plus importants ont concerné des bridges cross-chain et des protocoles DeFi.

Ronin (625 millions USD)

Le réseau Ronin – qui héberge le célèbre jeu blockchain Axie Infinity, développé par Sky Mavis – a subi un vol de 625 millions de dollars en ETH et USDC en mars 2022. Le piratage n’a été découvert qu’une semaine plus tard, lorsqu’un utilisateur s’est plaint de ne pas pouvoir retirer ses ETH d’Axie Infinity. Il s’agit du plus important vol de cryptos à ce jour, attribué au groupe Lazarus, une équipe de hackers nord-coréenne.

Les attaquants ont accédé à l’infrastructure informatique de l’entreprise via une attaque de phishing par e-mail ciblant un ancien employé de Sky Mavis. Après avoir localisé les clés privées des nœuds validateurs sur les serveurs internes de la société, ils les ont dérobées et ont pris le contrôle du réseau Ronin.

Le réseau Ronin était protégé par seulement 9 validateurs, dont 4 gérés par Sky Mavis, et il suffisait de 5 validateurs sur 9 pour approuver les dépôts et retraits. Ainsi, une fois que les attaquants ont pris le contrôle d’un cinquième nœud (géré par l’Axie DAO) grâce à une porte dérobée, ils ont pu simplement vider les fonds du réseau. Ils ont retiré plus de 173 600 ETH et 25,5 millions d’USDC.

D’après les experts, les hackers ont fait transiter les fonds volés par plusieurs mixers crypto, dont Tornado Cash, Blender et ChipMixer, avant de les transférer apparemment vers le réseau Bitcoin.

Sky Mavis a annoncé que la plupart des victimes avaient été intégralement remboursées grâce aux fonds propres de l’entreprise, ainsi qu’à 150 millions de dollars levés lors d’un tour de table mené par Binance.

Wormhole (325 millions USD)

Wormhole est un protocole de bridge cross-chain qui permet aux utilisateurs de transférer des ETH vers des tokens WETH (Wormhole ETH) sur le réseau Solana.

En février 2022, un hacker inconnu a attaqué le bridge cross-chain. Il a falsifié des signatures de sécurité, généré 120 000 WETH à partir de rien, puis les a échangés contre de l’ETH sur le réseau Ethereum, vidant ainsi le pool de liquidité de Wormhole.

Le bridge a cessé de fonctionner après le piratage, mais a été remis en ligne quelques jours plus tard. Tous les fonds volés ont été restitués à leurs propriétaires grâce à Jump Crypto, la société à l’origine de Wormhole.

Nomad (190 millions USD)

Un autre bridge a été compromis en août 2022. Nomad, un bridge cross-chain reliant les réseaux Ethereum, Avalanche, Moonbeam, Evmos et Milkomeda, a été piraté pour un montant de 190 millions de dollars.

La faille provenait d’une mauvaise configuration du smart contract principal du projet. Les développeurs ont commis une erreur lors de la mise à jour, permettant à toute personne ayant des connaissances basiques en programmation de s’octroyer le droit de retirer des fonds. Lorsque l’erreur a été détectée, plus de 300 utilisateurs s’étaient déjà précipités pour retirer illégalement de l’argent du bridge. Certains étaient toutefois des hackers « white hat » et ont ensuite restitué 22 millions de dollars à la plateforme. Les experts qualifient ce hack de « premier braquage de masse décentralisé ».

Beanstalk Farms (182 millions USD)

Ce protocole de stablecoin construit sur Ethereum a été attaqué en avril 2022. Le hacker est parvenu à pénétrer le réseau en procédant ainsi :

• A eu recours à des flash loans non sécurisés pour lever plus d’un milliard de dollars en USDC, USDT, DAI et autres stablecoins sur différentes plateformes décentralisées (Uniswap, SushiSwap et Aave) ;
• A ajouté ces fonds au pool BEAN et obtenu 67 % des tokens de gouvernance Stalk, utilisés pour voter sur le réseau ;
• A déployé et approuvé deux propositions de gouvernance malveillantes (BIP-18 et BIP-19) visant officiellement à faire un don à l’Ukraine. Le hacker y avait intégré un code malicieux qui, selon l’auditeur BlockSec, a permis de siphonner les fonds du protocole.

La société de cybersécurité PeckShield estime que l’incident a coûté 182 millions de dollars à Beanstalk.

Mango Markets (114 millions USD)

Cette plateforme de prêt et de trading, basée sur Solana, a perdu 114 millions de dollars en octobre 2022 à la suite d’une manipulation de marché.

Le hacker – il s’est avéré par la suite que l’équipe était dirigée par le trader Avraham Eisenberg – a cherché à retirer les dépôts clients de Mango Markets en manipulant le prix du token MNGO. Voici comment il a procédé :

• A déposé 5 millions d’USDC sur Mango Markets ;
• A ouvert une énorme position longue sur le token MNGO, faisant grimper son prix de plus de 1 000 % en une heure seulement, ce qui a également augmenté la valeur de son compte ;
• A contracté 114 millions de dollars de prêts adossés à cette garantie surévaluée, puis a retiré les fonds et s’est volatilisé.

Eisenberg a ensuite accepté un accord avec les développeurs du projet et a restitué 69 millions de dollars. Il a révélé son identité, ce qui s’est avéré imprudent, car le département de la Justice des États-Unis l’a arrêté en décembre 2022 pour des faits de manipulation de marché.

2023 : les hackers crypto en perte de vitesse ?

D’après les analystes de PeckShield, les hackers ont mené 24 attaques sur des cryptos pour un total de 8,8 millions de dollars en janvier 2023. C’est 14 fois moins que le montant volé à la même période l’an dernier. L’attaque la plus importante a eu lieu sur LendHub, où les hackers ont dérobé 6 millions de dollars en une seule opération. D’autres projets crypto piratés cette année incluent Mycelium, Thoreum Capital, Midas Capital et OMNI.

PeckShield indique également qu’en février 2023, 209 attaques ont été recensées pour un total de 35 millions de dollars, soit dix fois moins qu’en février 2022.

Aucune avancée majeure en matière de sécurité n’a été constatée entre-temps, ce qui laisse penser que les hacks de protocoles DeFi vont se poursuivre. Ici, un vieux proverbe reste d’actualité : ne mettez pas tous vos œufs dans le même panier, sinon vous risquez de tout perdre d’un coup.