Le 2 décembre à 12h35 GMT, Peckshield a signalé un exploit réalisé par un attaquant sur le protocole Ankr . L'exploit a cédé la place à 20 billions de jetons de récompense aBNBc du protocole.
Ankr Reward Bearing Staked BNB (aBNBc) est un jeton de récompense, ce qui signifie que son montant reste le même à partir du moment du jalonnement. Le jeton s'apprécie à mesure que son taux de remboursement augmente en raison de l'accumulation de récompenses.
Ankr a lancé le jeton sur la chaîne Binance en tant que fonctionnalité de jalonnement liquide sur Ankr. Les utilisateurs ont gagné des intérêts en jalonnant leur BNB sur le contrat Smart et ont obtenu aBNBc comme preuve de jalonnement.
À la poursuite de l'argent aBNBc
Selon Lookonchain , l'attaquant a volé les clés du déployeur d'Ankr et a frappé 10 billions d'aBNBc qu'il s'est envoyé. Il a ensuite transféré 1,125 milliard à l'adresse de la taxe sur l'essence et a commencé à décharger les jetons volés.
L'attaquant a de nouveau exploité le contrat et a frappé 10 000 milliards de jetons supplémentaires. Après les exploits, l'attaquant a commencé à déposer des BNB et des Ethereum via Tornado cash.
Tornado Cash est un contrat intelligent open source et décentralisé qui fournit le service de lavage des fonds de crypto-monnaie « entachés » avec d'autres pour masquer la source des fonds.
L'attaquant a également transféré les fonds volés à Helio Money ; en utilisant les fonds comme garantie, il a emprunté 16 millions de dollars de HAY qu'il a ensuite vendu pour 15,5 millions de dollars de BUSD. L'attaquant a répété des transactions similaires avec $HAY vendu pour BNB à plusieurs reprises.
Analyse des exploits HAY de 16 millions de dollars de Lookonchain.
La société de sécurité Peckshield a révélé que le contrat Ankr comportait un bogue dans sa fonction de frappe. Une signature de la fonction avec 0x3b3a5522 intégrée dans le contrat pourrait contourner la fonction OnlyMinter et avoir une frappe arbitraire.
Peckshield a également noté que les attaquants avaient lié des fonds via Celer et de BridgeGate à Ethereum et Tornado Cash.
Ankr a réagi sur Twitter en reconnaissant le piratage et a rapidement informé les bourses d'arrêter d'échanger des jetons. Ils ont conseillé à leur communauté d'éviter d'échanger les jetons, de retirer des liquidités des échanges et ont mentionné l'émission de nouveaux jetons. Le déménagement rendrait les jetons volés sans valeur.
Peckshield a remarqué plusieurs exploits de la fonction menthe.
Les attaquants restent très actifs ; Les statistiques de la blockchain indiquent que les exploiteurs ont également brûlé des milliards de jetons.
Selon Peckshield, certains exploiteurs ont transféré USDC et BUSD sont passés de l'exploit à l'échange Binance. Les fonds blanchis dans Binance s'élèvent à environ 19 millions de dollars.
Le PDG de Binance, Changoeng Zhao (CZ), a reconnu les exploits plus tôt, notant que les fonds de 3 millions de dollars transférés par les exploiteurs à Binance ont été gelés et les retraits suspendus. Il a remarqué que l'exploiteur avait réussi à voler les clés privées du contrat.
Impact de l'exploit du protocole Ankr
À 2h00 GMT, les prix aBNBc ont baissé de 99% suite à l'exploit. Le commerce a jusqu'à présent été suspendu sur divers échanges, l'équipe d'Ankr s'efforçant de résoudre le problème et de rembourser les commerçants concernés.
L'exploit a frappé stablecoin HAY et il a baissé de 35% au cours des dernières 24 heures et s'échange à 0,6434 $. Au sommet, il est tombé à 0,2113 $.
Ankr se négocie à 0,02168 $, en baisse de 3,93 au cours des dernières 24 heures. BNB est resté relativement stable et se négocie à 290,4 $.
Au fur et à mesure que la situation évolue, nous pouvons anticiper des mises à jour continues des parties concernées. Binance et Ankr sont ravis de l'affaire ; Binance gèlera probablement les fonds transférés vers leur échange tandis que les analystes mettront de côté les fonds volés pour la surveillance.
Le protocole Ankr rejoint une série d'autres exploits DeFi en 2022. Selon une analyse réalisée par Chainalysis, le nombre d'exploits DeFi en 2022 est à un niveau record qui a jusqu'à présent fait hémorragie plus de 800 millions de dollars de fonds d'investisseurs.