Un pirate informatique exploité un bug dans un jeton de jeu récemment lancé sur le réseau Blast – Super Sushi Samurai – pour voler environ 4,6 millions de dollars d’Ethereum le 21 mars – moins d’un mois après son lancement.
L’exploit a entraîné une baisse d’environ 99 % de la valeur du jeton suite à un vidage non autorisé du jeton. L’attaquant a extrait 1 310 ETH du principal pool de liquidités du jeton en doublant son solde à plusieurs reprises, puis en vendant le tout, selon les détails partagés par Certik avec CryptoSlate.
Super Sushi Samurai devait lancer son jeu web3 le même jour. L’incident pourrait avoir été mené par un pirate informatique au chapeau blanc. actuellement en contact avec l’équipe de Super Sushi Samurai. Cependant, les détails ne sont pas clairs au moment de mettre sous presse.
Bogue de duplication
Les enquêtes sur l’incident ont révélé qu’une partie non autorisée avait acquis 690 millions de jetons SSS et avait ensuite lancé une série de transactions via un contrat d’attaque spécialement conçu à cet effet.
En exploitant une vulnérabilité au sein de la fonction _update() de la plateforme, l’attaquant a pu dupliquer 25 fois les tokens en sa possession. Cette manipulation a gonflé la quantité de jetons à 11 500 milliards, qui a finalement été échangée contre environ 1 310 ETH, ce qui équivaut à environ 4 590 827 $.
L’exploit exploitait une faille dans le mécanisme de mise à jour du solde du contrat intelligent, qui ne parvenait pas à refléter avec précision les changements lorsque les jetons étaient transférés à la même adresse. Cet oubli a permis une augmentation exponentielle du solde de jetons de l’attaquant sans transactions légitimes.
En février, le même bug a été utilisé pour exploiter un jeton basé sur Ethereum appelé MINER. Le piratage a entraîné une perte de 168,8 ETH.
Efforts de rétablissement
Suite à la violation, Super Sushi Samurai s’est engagé auprès de sa communauté, fournissant des mises à jour et des assurances via sa chaîne officielle Telegram et d’autres plateformes de médias sociaux.
L’équipe a déclaré qu’elle tentait de contacter l’exploiteur, et le tweet le plus récent de la plateforme de jeu indique qu’un pirate informatique au chapeau blanc a contacté l’incident. Cependant, au moment de mettre sous presse, il n’est pas clair si le chapeau blanc est responsable de l’exploit ou s’il a aidé à récupérer les fonds.
Super Sushi Samurai a dit :
«Nous travaillons avec le chapeau blanc sur le retour des fonds en toute sécurité. Une mise à jour et un post-mortem suivront.
L’adresse contenant les fonds compromis a été divulguée publiquement dans le but de faciliter le suivi et la récupération potentielle des actifs perdus :
“0x786C8f95C17BB990a040dc4D6539B01FC1b72842”
Les efforts de communication de l’équipe visent à tenir les parties prenantes informées de l’évolution de l’incident et des mesures prises pour remédier à la vulnérabilité de sécurité.
Cet incident met en évidence l’importance cruciale de protocoles de sécurité robustes dans le secteur de la cryptographie, où la nature numérique des actifs les rend vulnérables à de tels exploits. Il met également en lumière les défis constants auxquels sont confrontées les plateformes en matière de protection contre les cybermenaces sophistiquées.
