Raydium : détails du piratage, quelle compensation pour les victimes ?
Le hacker a utilisé un exploit qui permettait de retirer des pools entiers de liquidités sous forme de « frais« .
L’équipe à l’origine de la plateforme d’échange décentralisée Raydium (DEX) a donné des détails sur la façon dont le piratage du 16 décembre s’est produit et a fait une proposition pour indemniser les victimes.
Déroulement du hack de Raydium et failles en causes dans le protocole
Selon un message officiel de l’équipe sur le forum, le pirate a pu s’emparer de plus de 2 millions de dollars en crypto-monnaies en exploitant une vulnérabilité dans les contrats intelligents du DEX qui permettait à des pools entiers de liquidités d’être retirés par les administrateurs, malgré les protections existantes pour empêcher un tel comportement.
La première étape de cette attaque a consisté à prendre le contrôle de la clé privée d’un pool d’administrateurs. L’équipe ne sait pas comment cette clé a été obtenue, mais elle soupçonne que la machine virtuelle qui la détenait a été infectée par un programme trojan.
Une fois que le pirate a eu la clé, il a appelé une fonction pour retirer les frais de transaction qui devraient normalement aller à la trésorerie de la DAO pour être utilisés pour le rachat de jetons RAY. Sur Raydium, les frais de transaction ne vont pas automatiquement en trésorerie au moment d’un swap. Au lieu de cela, ils restent dans le pool du fournisseur de liquidités jusqu’à ce qu’ils soient retirés par un administrateur. Cependant, le contrat intelligent garde la trace du montant des frais dus à la DAO par le biais de paramètres. Cela aurait dû empêcher l’attaquant de pouvoir retirer plus de 0,03 % du volume total des échanges qui ont eu lieu dans chaque pool depuis le dernier retrait.
Néanmoins, en raison d’une faille dans le contrat, l’attaquant a pu modifier manuellement les paramètres, faisant croire que l’ensemble des liquidités était constitué de frais de transaction qui avaient été perçus. Cela a permis à l’attaquant de retirer tous les fonds. Une fois les fonds retirés, l’attaquant a pu les échanger manuellement contre d’autres jetons et transférer le montant vers d’autres portefeuilles sous le contrôle de l’attaquant.
Comment Raydium compte indemniser les clients victimes du piratage
En réponse à cet exploit, l’équipe a mis à jour les contrats intelligents de l’application afin de supprimer le contrôle de l’administrateur sur les paramètres qui ont été exploités par l’attaquant.
L’équipe utilisera ses propres jetons non verrouillés pour indemniser les victimes qui ont perdu des jetons Raydium, également connus sous le nom de RAY. Cependant, les développeurs ne disposent pas de stablecoin et de jetons autres que RAY pour dédommager les victimes. Ils demandent donc aux détenteurs de RAY de voter pour utiliser la trésorerie de l’organisation autonome décentralisée (DAO) afin d’acheter les jetons manquants pour rembourser les personnes touchées par l’exploit.