Ethereum : des white hats rendent 16,6 millions de dollars au projet Nomad, hacké et sur la paille
Whitehat à la rescousse de Nomad – Le 2 août, le pont crosschain Nomad a été victime d’un hack colossal de 190 millions de dollars. Au lendemain des faits, plusieurs white hats ont commencé à restituer des fonds sécurisés en parallèle de l’attaque. Une aubaine pour le protocole, qui ne suffira malheureusement pas à couvrir les pertes.
Nomad dépouillé de 190 millions de dollars dans un hack
Le 2 août au petit matin, le pont Nomad a été la cible d’une attaque qui a entrainé la perte de la quasi-totalité des fonds déposés sur protocole. Au total, ce sont 190 millions de dollars qui ont été siphonnés par plus d’une quarantaine de wallets différents.
Ainsi, une faille avait été malencontreusement introduite dans le code par les développeurs au moment d’une mise à jour de routine. Par conséquent, il était possible de contourner la vérification de dépôt dans le smart contract. Cela a permis à des dizaines d’attaquants de retirer des montants bien supérieurs à leurs dépôts.
En effet, il suffisait de copier la transaction émise par le premier attaquant et de modifier l’adresse de réception par sa propre adresse. Un procédé si facile, qu’il a permis à des dizaines d’internautes de siphonner joyeusement les pools du protocole, sans avoir besoin de compétences particulières.
Par la suite, les équipes de Nomad ont mis en pause le service de pont, et ont annoncé travailler à la résolution du problème. Plus d’informations devraient être partagées quand les correctifs auront été apportés au code.
Plusieurs millions restitués par des whitehats
Heureusement, les pools n’ont pas été pris d’assaut que par des utilisateurs malveillants. En effet, plusieurs adresses liées à des ENS (Ethereum Name Service) ont également retiré des fonds depuis les pools.
De ce fait, les équipes de Nomad ont rapidement communiqué une adresse à destination des whitehats et autres chercheurs éthiques.
« Processus de récupération des fonds Nomad Bridge. Chers hackers et amis chercheurs éthiques qui ont sauvegardé les jetons ETH/ERC-20. Veuillez envoyer les fonds à l’adresse de portefeuille suivante sur Ethereum. »
Rapidement identifiées comme étant potentiellement l’action de white hats, à savoir des hackers bienveillants, plusieurs d’entre elles ont commencé à restituer des fonds.
Ainsi, le 3 août, l’ENS bitliq.eth a restitué 100 ETH, soit 166 000$ à l’adresse officielle de recouvrement des fonds, mise en place par Nomad. Une vingtaine d’ETH supplémentaires ont été restitués par deux autres adresses.
De surcroit, l’équivalent de 9 millions de dollars répartis entre différents ERC-20 a également été restitué par d’autres white hats le même jour. Cela a amené le total des fonds restitués à 9,3 millions de dollars après ces dons généreux. Une bonne nouvelle pour le protocole, bien que le montant reste largement insuffisant face au montant des pertes.
Depuis, l’assistance de la communauté des hackers éthiques ne s’est pas démentie : ce jeudi 4 août, le projet annonçait sur Twitter avoir récupéré l’équivalent de 16,6 millions de dollars.
Aucune négociation possible
Malheureusement, cette affaire de hack est bien différente des cas que nous pouvons habituellement croiser. En effet, dans la plupart des cas, les hacks sont perpétuées par un seul attaquant.
Par conséquent, les équipes sont plus facilement en mesure de négocier une restitution des fonds en l’échange d’une récompense. Malheureusement, dans le cas du hack de Nomad, ce sont plus d’une quarantaine de wallets différents qui ont pris part au siphonnage des pools. Cela complexifie, voire rend impossible, toute négociation avec les attaquants.
En parallèle, le réseau Solana est, lui aussi, au cœur de la tourmente. En effet, une attaque dont la cause est encore inconnue a entrainé le siphonnage de près de 8 000 wallets.
En crypto, ne faites pas l’économie de la prudence ! Ainsi, pour conserver vos avoirs cryptographiques à l’abri, la meilleure solution est encore un wallet hardware personnel. Chez Ledger, il y en a pour tous les profils et toutes les cryptos. N’attendez pas pour mettre vos capitaux en sécurité (lien commercial) !
Renaud H.
Ingénieur en software et en systèmes distribués de formation, passionné de cryptos depuis 2013. Touche à tout, entre mining et développement, je cherche toujours à en apprendre plus sur l’univers des cryptomonnaies et à partager le fruit de mes recherches à travers mes articles.
