Hack de DAO Maker : 7 millions de dollars dérobés

Un hacker est par­ve­nu à voler l’é­qui­valent de plus de 7 mil­lions de dol­lars en pro­fi­tant d’une faille de sécu­ri­té de la pla­te­forme DAO Maker.

C’est une nou­velle attaque subie par l’é­co­sys­tème de la finance décen­tra­li­sée (DeFi).

Un pirate a pro­fi­té aujourd’­hui d’une faille de sécu­ri­té pour s’en prendre à DAO Maker, une pla­te­forme de crowd­fun­ding visant à faci­li­ter le finan­ce­ment de startups.

Il est par­ve­nu à déro­ber des USDCs , puis à les rem­pla­cer contre des ETH. Il a ain­si pu mettre la main sur 2 261 ETH, soit plus de 7 mil­lions de dol­lars.

Mais pour­quoi avoir trans­fé­ré des ETH contre des USDC ? Les sta­ble­coins USDC peuvent être à tout moment gelés par Circle, la socié­té émet­trice. Il faut savoir que Tether jouit du même pou­voir : l’en­tre­prise a d’ailleurs déci­dé cette semaine de geler 35 mil­lions d’USDTs obte­nus frau­du­leu­se­ment, peu de temps après le pira­tage du réseau Poly Network.

Entre 9 000 et 10 000 comptes USDC liés à DAO Maker seraient affec­tés par ce piratage.

Cer­tains uti­li­sa­teurs ont com­men­cé ont com­men­cé cette après-midi à se plaindre de la dis­pa­ri­tion de leurs dépôts, qui ont été déro­bés par le pirate.

« Les 900$ que j’ai pla­cés dans DAO Maker ont com­plè­te­ment disparu. »

« Nous voulons rassurer nos investisseurs et nos supporters »

Dans un com­mu­ni­qué publie ce jeu­di après-midi, Chris­toph Zak­nun, PDG de DAO Maker, évoque les étapes de ce pira­tage et tente de ras­su­rer les inves­tis­seurs.

Il explique qu’à envi­ron 13h, un pirate est par­ve­nu à prendre le contrôle de l’un des por­te­feuilles de DAO Maker.

« Le cyber­cri­mi­nel, après avoir ten­té de pro­fi­ter de ce bug et être par­ve­nu à déro­ber 10 000 USDC, a pu ensuite pro­cé­der à 15 tran­sac­tions sup­plé­men­taires. De cette manière, il est arri­vé à obte­nir envi­ron 7 mil­lions de dol­lars », explique le dirigeant.

« Notre équipe de sécu­ri­té est par­ve­nue à tra­cer, conte­nir et mettre un terme au drai­nage de fonds. Au total, 5 251 uti­li­sa­teurs ont été affec­tés, pour une perte moyenne de 1 250 dol­lars par uti­li­sa­teur. Les uti­li­sa­teurs déte­nant moins de 900 dol­lars n’ont pas été affectés ».

Le PDG de DAO Maker pré­cise ensuite que les déve­lop­peurs ont déci­dé de trans­fé­rer les fonds non affec­tés par ce pira­tage dans un nou­veau por­te­feuille. Les uti­li­sa­teurs concer­nés peuvent à tout moment reti­rer leur argent.

« Nous vou­lons ras­su­rer nos inves­tis­seurs et nos sup­por­ters. Nos coffres-forts sont sécu­ri­sés et le pira­tage n’a pas eu d’im­pact sur notre acti­vi­té. Per­sonne, pas même nous, ne peut mettre à jour le code ou reti­rer une DAO de nos coffres-forts. En tant que PDG, j’es­time qu’il s’est tou­jours agi de l’un des prin­cipes clés de DAO Maker », ajoute M. Zaknun.

Deux attaques en deux jours

La DeFi a énor­mé­ment fait par­ler d’elles ces der­niers mois. De nom­breuses pla­te­formes (Unis­wap, Aave, Pan­ca­keS­wap,…) sont par­ve­nues à se faire une place par­mi les cryp­to-pro­jets les plus capitalisés.

Mais les failles de sécu­ri­té semblent consti­tuer un pro­blème récur­rent dans cet éco­sys­tème nais­sant, alors que l’on a pu assis­ter à deux pira­tages en l’es­pace de seule­ment deux jours.

Ce mar­di, un hacker est par­ve­nu à déro­ber l’é­qui­valent de 610 mil­lions de dol­lars de cryp­to­mon­naies en exploi­tant un bug décou­vert sur la pla­te­forme « cross-chain » Poly Net­work. Il a tou­te­fois depuis déci­dé de rendre pour 258 mil­lions de dol­lars d’ac­tifs numé­riques. Même s’il a affir­mé plu­sieurs fois qu’il comp­tait le faire, il est tou­jours dif­fi­cile de savoir s’il va vrai­ment retour­ner les cryp­to-actifs restants.