Crypto : Voici comment DFX Finance a perdu 7,5 millions de dollars

DFX Finance est un exchange décentralisé basé sur Polychain. La plateforme est dédiée à une catégorie spécifique de cryptos : les stablecoins adossés à une monnaie fiduciaire. Elle a réussi à lever 5 millions de dollars de fonds l’année dernière. Il s’agissait d’un premier tour de financement mené par Polychain Capital et True Ventures. Tout semblait bien aller pour le protocole DFX Finance avant que son équipe n’annonce une triste nouvelle, ce matin.

L’exchange de stablecoins s’est fait pirater

Ce 11 novembre, l’exchange de stablecoin DFX Finance a annoncé une mauvaise nouvelle à la communauté crypto sur Twitter. En effet, il a déclaré : « Nous avons été informés aujourd’hui d’une activité suspecte sur les contrats DFX. L’attaque a commencé le 10 novembre 2022 à 07:21:59 PM +UTC depuis le portefeuille 0x14c19962e4a899f29b3dd9ff52ebfb5e4cb9a067 ».

1) Today we were notified about suspicious activity happening in the #DFX contracts. The attack started at Nov-10-2022 07:21:59 PM +UTC originating from wallet 0x14c19962e4a899f29b3dd9ff52ebfb5e4cb9a067.

— DFX Finance (@DFXFinance) November 11, 2022

Il apparait que DFX Finance a été prévenu de l’activité suspecte dans les 30 minutes suivant la première transaction. L’exchange a rapidement réagi en mettant en pause toutes les opérations liées aux contrats DFX. Sa réaction est survenue quelques minutes après qu’il ait reçu la confirmation qu’il s’agissait bien d’une attaque.

DFX Finance a expliqué que le hacker a volé 7,5 millions de dollars d’actifs. Mais, ce dernier n’a réussi à transférer que 4,3 millions de dollars dans son portefeuille. Les 3,2 millions de dollars restants sont sur le portefeuille de l’opérateur d’un bot MEV qui est invité à les restituer à l’exchange.

Comment le piratage de cryptos a-t-il été effectué ?

L’exchange de stablecoins a expliqué que le pirate s’est servi d’un système de prêt flash non sécurisé pour effectuer l’exploit. Il apparait que cette fonctionnalité avait été mise en place par DFX Finance sur le réseau Ethereum. Il se trouve que le mécanisme permet de faire des emprunts de cryptos (en grande quantité) sans garantie. Néanmoins, la fonction est soumise à une condition : les fonds doivent être rendus au cours de la même transaction.

En fait, le pirate a utilisé le système pour emprunter des stablecoins qu’il a redéposés dans les pools de liquidité de l’exchange. Il s’est alors servi d’une fonction de rappel non sécurisée pour contourner le système de surveillance du prêt flash. Ensuite, il a vendu les tokens de pools de liquidité qui étaient en sa possession.

DFX Finance a rassuré les utilisateurs en affirmant que « les pools de Polygon n’ont pas été affectés ». En effet, l’exchange a réussi à «  mettre les contrats en pause avant que le pirate ne se rende du côté de Polygon ». Par ailleurs, il a exhorté les détenteurs de LP Polygon à « retirer les fonds de leurs pools DFX » dès que cela sera rendu possible.