Le DEX décentralisé Arcus DEX a perdu 2,23 millions de dollars dans un piratage le 9 novembre, après qu'une vulnérabilité de comptabilisation a permis à un attaquant de gonfler le solde enregistré d'un compte nouvellement créé et de retirer des fonds que ce compte ne détenait pas réellement. La plateforme a indiqué avoir couvert l'intégralité du manque à gagner depuis sa trésorerie et que les soldes, positions ou ordres des autres utilisateurs n'avaient pas été affectés.

Selon Coin Bureau, qui a révélé l'incident dans un post X, la faille a permis à l'attaquant de faire apparaître sur le compte des fonds nettement supérieurs à ses actifs réels. Cette divergence dans le système de comptabilisation de la plateforme a permis à l'attaquant de retirer de l'argent que le compte ne possédait pas, entraînant une perte de 2,23 millions de dollars.

La limite de débit du bridge a bloqué une tentative de retrait supplémentaire de 3 millions de dollars

L'incident aurait pu entraîner une perte plus importante. L'attaquant a tenté de retirer 3 millions de dollars supplémentaires, mais la limite de débit on-chain du bridge a empêché le traitement de ces paiements, bloquant les fonds avant qu'ils ne puissent quitter le bridge. Les limites de débit sur les bridges sont conçues pour plafonner la valeur pouvant transiter sur une période donnée, une mesure de protection visant à limiter les sorties de fonds lors d'un piratage. En ajoutant les fonds déjà dérobés, l'attaquant a visé environ 5,23 millions de dollars au total, la limite de débit ayant bloqué plus de la moitié de ce montant.

Le rapport source n'a pas fourni de détails supplémentaires sur le mécanisme spécifique utilisé pour manipuler le solde du compte ni sur la cause technique de l'erreur de comptabilisation.

Arcus a corrigé la vulnérabilité en 90 minutes

Arcus a détecté et corrigé la vulnérabilité dans les 90 minutes environ suivant le piratage. Dans le cadre de sa réponse, la plateforme a bloqué les adresses associées à l'attaquant et suspendu temporairement les retraits.

Ces mesures ont suivi la découverte des retraits non autorisés et visaient à contenir l'incident pendant qu'Arcus corrigeait la faille de comptabilisation et restreignait l'activité de l'attaquant.

La trésorerie couvre l'intégralité du manque à gagner de 2,23 millions de dollars

Arcus a indiqué avoir depuis reconstitué l'intégralité du manque à gagner de 2,23 millions de dollars à l'aide des fonds de sa trésorerie, et a réitéré que l'incident n'avait pas affecté les soldes, positions ou ordres des autres utilisateurs. La déclaration de la plateforme indique que le piratage s'est limité aux fonds pris par l'attaquant, sans s'étendre aux avoirs enregistrés ou aux positions de trading des autres utilisateurs.

Les efforts de récupération se poursuivent. Les fonds volés font l'objet d'un suivi on-chain, et Arcus coordonne ses actions avec des enquêteurs blockchain et les forces de l'ordre pour tenter de les récupérer. Aucun détail supplémentaire sur le processus de récupération ni sur l'identité de l'attaquant n'a été fourni.

Source : Hokanews