Ethereum : Beanstalk perd 182 millions de dollars dans une attaque de gouvernance

Aaaand it’s gone – L’écosystème de la finance décentralisée (DeFi) est en perpétuelle évolution. Malheureusement, les hackers et arnaqueurs en tous genres redoublent, eux aussi, d’ingéniosité pour accaparer les fonds d’autres utilisateurs. 

Beanstalk : 180 millions de dollars envolés

Beanstalk est un protocole de la finance décentralisée à l’origine du stablecoin BEAN. Contrairement à bon nombre de ses concurrents, Beanstalk repose sur un système de crédit décentralisé. Celui-ci a vu le jour en août 2021 sur le réseau Ethereum. 

Le 17 avril dernier, les équipes de PeckShield, l’entreprise spécialisée dans l’analyse de blockchain, ont annoncé que le protocole avait perdu plus de 180 millions de dollars au cours d’une attaque. 

En pratique, l’attaquant a réussi à siphonner l’intégralité des pools du protocole dérobant : 

• 36 millions de BEAN ($36M) ;
• 0.54 ETH-BEAN UNI-v2 LP tokens ($33M en ETH et $32M en BEAN) ;
• 79.2 millions de jetons BEAN3CRV-f Curve ($79.2M) ;
• 1.6 million de jetons BEAN-LUSD Curve LP ($1.6M).

D’après le post-mortem publié par les équipes de Beanstalk, celles-ci ont directement été alertées du problème et ont mis en pause l’intégralité du protocole. Malheureusement, le mal était déjà fait. 

>> La DeFi vous fait peur ? Générez un rendement sur Swissborg en toute sécurité !(lien affilié) <<

Une attaque de gouvernance rondement menée

Cette attaque est pour le moins inhabituelle dans sa forme. En effet, plutôt que de viser directement le contrat du protocole, le hacker a mené une attaque à l’encontre du module de gouvernance de celui-ci. 

Igor Igamberdiev, directeur de recherche pour TheBlock, a dévoilé le déroulement de l’attaque sur Twitter.

D’après son analyse, l’attaque s’est déroulée en quatre actes. 

Dans un premier temps, l’attaquant a créé la proposition BIP-18 visant à faire don de 250 000$ en jetons BEAN à l’Ukraine.

Dans un second temps, celui-ci a contracté plusieurs flash loans auprès des protocoles Aave, Uniswap et Sushiswap. Au total, l’attaquant a emprunté : 

• 1 milliard de dollars sur Aave en DAI, USDT et USDC ; 
• 32 millions de dollars en BEAN sur Uniswap ; 
• 11,6 millions de dollars en LUSD sur Sushiswap. 

L’ensemble de ces jetons ont ensuite été déposés sur la pool BEAN du protocole Curve pour obtenir du pouvoir de vote. 

Pour finir, la proposition BIP-18 a été modifiée pour envoyer l’ensemble des fonds du protocole vers l’adresse de l’attaquant. Une fois déployé, l’attaquant a utilisé l’intégralité des fonds empruntés précédemment pour voter en faveur de sa proposition. 

Il ne lui restait alors plus qu’à retirer les liquidités du protocole et rembourser les fonds empruntés. Celui-ci s’en est sorti avec un joli pactole de 24 800 ETH soit 76 millions de dollars. 

Sans surprise, les fonds dérobés ont directement été envoyés sur le protocole d’anonymisation Tornado Cash pour brouiller les pistes. 

Au milieu du mois de février, le protocole Build Finance avait, lui aussi, fait les frais d’une attaque de gouvernance. Au total, 522 000$ avaient été siphonnés du fonds de trésorerie. 

Les hacks se suivent et ne se ressemblent pas.. Si vous préférez un environnement plus serein, privilégiez des exchanges centralisés. Inscrivez-vous sur Swissborg. Un bonus exceptionnel jusqu’à 200€ vous est réservé ! (lien affilié, pour un dépôt minimum de 50€)