Ces derniers mois, une nouvelle catégorie a fait son apparition dans les cryptos. Ainsi, les protocoles de DePIN (Decentralized Physical Infrastructure Networks) visent à décentraliser les infrastructures. Le projet GnusAI par exemple, permet de louer des GPU de manière décentralisée. Cela permet ensuite d’entraîner ou faire tourner des modèles d’IA. Malheureusement, celui-ci a récemment été la cible d’un hack.
1,27 million de dollars dérobés dans un hack sur GnusAI
Le 5 mai, les équipes de GnusAI ont alerté leur communauté après avoir été la cible d’un hack. Selon les premières annonces, le hacker aurait réussi à mint des jetons GNUS. Après avoir minté ces jetons, il s’est empressé de les vendre sur les pools de liquidités existantes sur Ethereum.
Peu après l’attaque, l’entreprise Certik spécialisée dans la sécurité des blockchains a dévoilé le mode opératoire.
Ainsi, il semblerait que l’attaquant ait réussi à obtenir la clé privée de l’une des adresses des développeurs du protocole.
Une fois l’adresse en sa possession, il a été en mesure de copier le salt du contrat token manager et redéployer un contrat token manager sur la blockchain Fantom. Pour rappel, le salt est une chaîne de caractère (nonce) utilisée lors du déploiement d’un smart contract pour assurer que l’adresse du contrat déployé soit unique.
Désormais, l’attaquant contrôle ce nouveau contrat, ce qui lui permet de mint 500 000 jetons GNUS. Comme il s’agit d’une réplique exacte du contrat original, les jetons sont considérés comme valides.
Par conséquent, l’attaquant a pu envoyer lesdits jetons sur Ethereum en utilisant le pont d’Axelar. Une fois les GNUS sur Ethereum, le hacker a massivement vendu les jetons sur Uniswap, empochant 407 ETH, soit près de 1,3 million de dollars.
Selon les informations partagées par SuperGenius.eth, le fondateur de GnusAI, il semblerait que le hacker ait obtenu la clé privée en hackant le discord du projet. Cela lui aurait permis d’accéder aux messages privés et de récupérer la clé privée qui y avait été partagée. À noter que ce n’est pas très “SuperGenius” d’envoyer une clé privée en clair sur Discord, mais passons.
Les développeurs cherchent une solution
En l’espace de quelques instants, le cours du GNUS s’est effondré de 22 à 1$. Désormais, les équipes de GNUS cherchent une solution pour pallier au hack.
Après un AMA communautaire hébergé via un Space Twitter, il a été décidé de garder les smart contract actuels du jeton GNUS.
De son côté, l’équipe compte traiter le surplus de jetons créés par le hacker en procédant à une manœuvre de rachat (buy-back) et de destruction (burn). Cela vise à racheter les jetons sur les marchés des DEXs pour les détruire, ramenant par conséquent la supply au même niveau qu’avant le hack.
Pour les utilisateurs qui auraient vendu dans la panique, GnusAI a mis en place un formulaire qui permettrait de racheter les jetons à un taux de 1$ unité.
En parallèle, ils ont annoncé une récompense de bug bounty de 10% au hacker. Ainsi, celui-ci pourrait restituer 90 % des fonds dérobés et éviter les poursuites judiciaires.
Affaire à suivre dans les prochains jours !
La semaine dernière, un autre protocole de DePIN a été victime d’une attaque. Il s’agit du protocole IONet et il a été la cible d’une attaque de type sybil. Ainsi, des utilisateurs malveillants ont trouvé un moyen pour berner le système et lui faire croire qu’ils mettaient à disposition des GPU alors que cela n’était pas le cas.
