Hack TempleDAO : l’attaquant efface ses traces via Tornado Cash

Un temple DeFi profané – La semaine dernière, le protocole TempleDAO a été la cible d’une attaque sur Ethereum. En pratique, le hacker a dérobé 2,3 millions de dollars, soit 4% de la TVL du protocole. Suite à son méfait, celui-ci a tenté de brouiller les pistes en faisant transiter les fonds via le protocole Tornado Cash.

L’attaque de TempleDAO : un butin à 2,3 millions de $

TempleDAO est un protocole de finance décentralisée évoluant sur le réseau Ethereum. Celui-ci entre dans la catégorie des protocoles de lending. En effet, il propose à ses utilisateurs de déposer leurs fonds pour générer un rendement. 

Malheureusement, le 11 octobre dernier, le protocole a eu la mauvaise surprise d’être la cible d’un hack. Ainsi, c’est l’entreprise d’analyse de blockchain PeckShield qui a tiré la sonnette d’alarme sur Twitter.

« Il semblerait que TempleDAO ait été exploité. L’attaquant a financé son attaque en utilisant SimpleSwap et a déjà transféré 1 831 $ETH (~$2.34M) à une nouvelle adresse 0x2B63d…B5A0. »

Au total, l’attaquant a ainsi dérobé 1 831 ETH lors de ce hack, soit l’équivalent de plus de 2,3 millions de dollars dans les pools du protocole. 

Pour ce faire, celui-ci a profité d’un manque de vérification dans le code de TempleDAO. En effet, le protocole présente une fonction migrateStake() qui vise à migrer les fonds d’un ancien contrat de staking vers le nouveau. 

Cependant, aucune vérification n’est faite dans cette fonction pour valider l’adresse de l’ancien contrat. Ainsi, l’attaquant a pu créer un contrat et le passer en paramètre de la fonction ainsi que des montants aléatoires. 

Une fois la manœuvre réalisée, de fausses positions ont été migrées sur le protocole et notre attaquant a pu les retirer en appelant la fonction withdraw().

>> Jouez la sécurité ! Inscrivez-vous sur Binance, et économisez 10% de frais (lien commercial) <<

Moult transactions pour brouiller les pistes

Après son hack, l’attaquant n’a pas semblé très ouvert aux négociations. De surcroît, celui-ci compte bien brouiller les pistes autant que possible. 

Ainsi, le 16 octobre, le hacker a entrepris de transférer les fonds vers Tornado Cash pour brouiller les pistes. Au total, l’attaquant a envoyé 18 transactions de 100 ETH et 3 de 10 ETH vers le protocole de mixage. 

Pour rappel, Tornado Cash permet de cacher la provenance et la destination des fonds sur Ethereum. Le protocole est d’ailleurs au cœur de la tourmente depuis plusieurs mois, suite à des sanctions américaines.

Celui-ci est également au cœur des débats sur Ethereum. En effet, depuis le passage au Proof of Stake, de nombreux validateurs effectuent une censure systématique de transactions liées à Tornado Cash. 

En pratique, plus de 51% des blocs sont dits OFAC Compliant, à savoir qu’ils respectent les sanctions du trésor américain. Une situation intenable qui devrait être adressée au plus vite. 

Les hacks sont des aléas malheureux, mais pas une fatalité. Besoin de tranquillité d’esprit pour vos cryptos ? Inscrivez-vous vite sur la plateforme Binance, LA référence absolue du secteur, et économisez 10% sur vos frais de trading en suivant ce lien (lien commercial).