Exploits financiers Vee et Zabu : Deux attaques étonnamment similaires

Les attaques contre la finance décentraliséeDeFi) continuent de se produire à un rythme accéléré en 2021. Au cours des deux dernières semaines, au moins deux attaques ciblées contre des protocoles fonctionnant sur la plateforme de smart contract Avalanche ont entraîné des pertes de près de 40 millions de dollars. Le 20 septembre 2021, Vee Finance (VF) a officiellement annoncé que sa plateforme de smart contract avait été attaquée, entraînant une perte estimée à 35 millions de dollars.

Selon VF, les fonds volés ont été transférés à l'adresse 0xeeeE458C3a5eaAfcFd68681D405FB55Ef80595BA (95ba). La plateforme d'blockchain intelligence (BLOCKINT) de TRM a identifié que huit minutes avant l'exploit, 95ba a été financé avec environ 27 Ethereum (ETH) du service de mixeur Tornado Cash. Au cours des 24 premières heures de l'attaque, seules deux transactions sortantes totalisant environ 27 ETH ont été retirées du portefeuille de l'attaquant.

Pour échanger les 27 ETH contre 27 WETH (Wrapped Ethereum), l'attaquant VF a utilisé le protocole 0x DeFi . Ce WETH volé a ensuite été envoyé à Avalanche. Ce mouvement post-exploit sur la chaîne reflète le flux de fonds dans l'attaque de Zabu Finance. Étant donné les similitudes sur la chaîne, il est possible que les deux projets de smart contract Avalanche aient été ciblés par la même personne ou par un copieur utilisant des tactiques presque identiques. Par exemple :

‍

1. Les deux attaques ont utilisé le protocole 0x DeFi .
2. Les deux attaques ont échangé l'ETH contre le WETH.
3. Les deux attaques ont envoyé le WETH directement à l'Avalanche après l'échange.
4. Les deux attaques ont interagi avec le service mixeur de Tornado Cash.

‍

‍

Échange entre chaînes et Bitcoin

Au 23 septembre 2021, l'attaquant a converti environ 213 des ETH volés en bitcoins (BTC) par le biais de ParaSwap, Curve.fi et des services de Ren Project. La plateforme BLOCKINT de TRM a permis de visualiser tous les fonds qui réapparaissent sur la chaîne Bitcoin". L'attaquant a commencé à déplacer au moins une partie des BTC échangés ; à partir de 09:39 EST, les 13,479 BTC ont été divisés en une paire de transactions. La destination finale de ces fonds reste incertaine. TRM continue à surveiller le flux des fonds de l'attaquant et continuera à soutenir les forces de l'ordre et les partenaires de l'industrie privée si nécessaire.

‍

Vee Finance communique par le biais de transactions Ethereum

Lorsque PolyNetwork a annoncé que sa plateforme avait été exploitée en août pour plus de 600 millions de dollars, l'entreprise a commencé à communiquer avec l'attaquant par le biais de transactions ETH. Sur une période de près de deux semaines, les négociations se sont déroulées publiquement entre l'attaquant et PolyNetwork, aboutissant à la restitution de la quasi-totalité des fonds volés. L'équipe de la VF semble s'inspirer de l'exemple de PolyNetwork en tentant de négocier de la même manière avec l'attaquant un bug bounty. Au moins deux messages ont été envoyés à l'attaquant par le biais de transactions ETH. Ce dernier n'a pas encore répondu.

‍

‍

TRM Labs continue de surveiller les flux de fonds volés par les exploits de Zabu Finance et Vee Finance. Pour plus d'informations sur la façon dont ces mises à jour peuvent affecter votre plateforme en tant que partenaire TRM, ou pour plus d'informations sur TRM, veuillez nous contacter directement via contact@trmlabs.com. Pour soumettre une piste à TRM Global Investigations, contactez investigations@trmlabs.com.