BounceBit ferme définitivement sa blockchain Layer 1 après qu'une faille d'autorisation a permis à un attaquant de déplacer environ 3 millions de dollars en tokens BB depuis neuf comptes mainnet sans l'accord de leurs propriétaires.

L'attaquant a exécuté 14 transactions non autorisées entre le 19 août à 21:02 UTC et le 20 août à 01:54 UTC, transférant 286 543 148 BB avant l'arrêt du réseau. La production de blocs s'est terminée à la hauteur 20 702 857 à 02:36:37 UTC le 20 août.

Selon l'équipe, aucune clé privée n'a été exposée et aucune signature n'a été falsifiée. Les portefeuilles des utilisateurs, les dispositifs matériels et les comptes sur les plateformes d'échange n'ont pas été compromis. Les produits CeDeFi Strategy, Promo Vaults, Prime et actifs du monde réel de BounceBit fonctionnent séparément de l'infrastructure Layer 1 concernée et sont restés intacts.

BounceBit avait lancé ce mainnet en 2024 en tant que réseau Bitcoin « CeDeFi » associant des rendements issus de la finance centralisée à des produits on-chain. Son token BB y avait fait ses débuts en mai de la même année via le programme Launchpool de Binance, et ses premiers soutiens comprenaient Binance Labs et Blockchain Capital.

Avec l'arrêt de la production de blocs, aucune transaction ne peut être réglée sur BounceBit Chain, ce qui fait de la réémission fondée sur un instantané la seule voie permettant de préserver les soldes des détenteurs.

Une faille d'autorisation héritée d'Evmos

L'exploit reposait sur une faille d'autorisation dans un module natif hérité de la pile technologique Evmos utilisée par BounceBit Chain. Cette faille permettait à un appelant de contrat intelligent de désigner un autre compte comme source des fonds sans que le module ne vérifie correctement que ce compte avait autorisé la transaction.

Il s'agit donc d'une défaillance d'autorisation au niveau du protocole sur BounceBit Chain, et non d'une compromission de portefeuille ou d'une attaque par vol de clés.

L'équipe s'était d'abord orientée vers une réparation du réseau, avec une annonce du 20 août décrivant une mise à niveau planifiée de la chaîne. Le plan de récupération a ensuite été abandonné au profit d'un retrait définitif du Layer 1. Evmos — un réseau basé sur le Cosmos SDK conçu pour exécuter des contrats intelligents compatibles Ethereum — a lui-même cessé ses opérations réseau en mai après l'approbation d'un arrêt par sa gouvernance, rendant nettement plus difficile la maintenance continue de la pile sous-jacente.

BounceBit emprunte une voie de récupération différente de celle des réseaux qui corrigent et redémarrent après un exploit. THORChain, par exemple, a réalisé un redémarrage progressif du réseau après l'exploit de 10,7 millions de dollars touchant son coffre en mai.

BB sera réémis à partir d'un instantané antérieur à l'exploit

BB deviendra en revanche un token BEP-20 sur BNB Chain, la norme du réseau pour les tokens fongibles, équivalente à l'ERC-20 d'Ethereum. Les nouveaux soldes seront fondés sur un instantané pris au bloc 20 697 260 à 21:02:35 UTC le 19 août, juste avant la première transaction non autorisée.

Les 286 543 148 BB de l'attaquant seront exclus de l'émission de remplacement. Les soldes légitimes seront automatiquement restaurés vers les adresses BNB Chain correspondantes, y compris les BB détenus en staking et en cours d'unbonding. Les détenteurs n'ont pas besoin de migrer leurs portefeuilles, de soumettre une demande ni de réclamer manuellement les tokens de remplacement.

BounceBit coordonne également avec les plateformes d'échange centralisées les questions relatives aux soldes clients et aux contrôles de dépôt. Aucun site officiel de réclamation pour la migration ni formulaire de réclamation n'existe actuellement, et les détenteurs ont été avertis d'éviter les liens demandant une vérification du portefeuille ou une migration de tokens.

Cette relocalisation place BB directement sur un réseau qui est déjà devenu le lieu principal d'une grande partie de l'activité de BounceBit. BNB Chain a également connu cette année plusieurs incidents de sécurité au niveau des tokens sans lien entre eux, dont le récent drain du token B², même si l'exploit de BounceBit s'est produit sur son propre Layer 1 basé sur Evmos et non sur BNB Chain.

BB s'échange autour de 0,01 dollar après l'exploit

BB s'échangeait autour de 0,0103 dollar samedi, avec environ 89,7 millions de dollars de volume sur 24 heures et une capitalisation boursière proche de 12,8 millions de dollars, selon CoinMarketCap. Le token est tombé à un plus bas historique de 0,00804 dollar le 20 août, alors que l'exploit et la perturbation du réseau se déroulaient. Les niveaux actuels ne représentent qu'une fraction de ceux auxquels BB s'échangeait dans les mois suivant son listing à la mi-2024.

BounceBit annoncera la nouvelle adresse de contrat BEP-20 via ses canaux officiels une fois le déploiement terminé. Les étapes restantes comprennent la restauration automatique des soldes et la manière dont les plateformes d'échange centralisées traiteront les dépôts du token réémis dans le cadre des contrôles coordonnés. D'ici là, les détenteurs actuels n'ont aucune transaction de migration ni procédure de réclamation à effectuer.