SushiSwap piraté : 3,3 M$ dérobés et 2000 adresses touchées

La plateforme de SushiSwap a été la cible d’une attaque. Pour le moment, son token de gouvernance ne semble pas particulièrement affecté par la nouvelle. Mais voici ce qui s’est passé.

SushiSwap, la cible d’un exploit

La plateforme d’échange décentralisée (DEX) SushiSwap a annoncé ce dimanche 9 avril qu’elle a été l’objet d’une attaque. Selon les premières informations, il s’agirait d’un exploit. Autrement dit, l’acteur malveillant a exploité les failles de sécurité de la plateforme pour y dérober des fonds.

Aucune information pertinente n’a été livrée sur l’identité du pirate informatique. Ce que l’on sait néanmoins, c’est que via son opération, il a réussi à dérober quelque 3,3 millions de dollars d’actifs à la plateforme. Des fonds appartenant à un utilisateur connu sous le nom de 0xSifu sur Twitter.

SushiSwap hacked, Head Chef says 'revoke all chains' https://t.co/RowqojzlrQ

— The Block (@TheBlock__) April 9, 2023

D’après Jared Grey, le patron de SushiSwap, ce dernier n’est pas le seul à avoir été touchés par l’attaque. L’on soupçonne au moins 2000 adresses de la plateforme décentralisée de couche 2 Layer 2 Arbitrum d’avoir été atteintes. La situation est similaire pour environ 190 adresses basées sur la blockchain Ethereum.

Réactions suite à l’attaque sur SushiSwap

Pour l’heure, les parties prenantes n’ont pas communiqué sur les fonds que toutes ces adresses ont potentiellement perdus. Une chose est néanmoins certaine : toutes ont été dupées par le hacker malveillant.

Ce dernier les aurait poussés à accorder leur crédit au mauvais « mécanisme d’approbation du contrat de routeur SushiSwap ». Ceci, à travers un bogue qui lui a permis de contourner le contrôle des autorisations.

À ce propos, Ancilia, Inc., un fournisseur de services de cybersécurité, a livré quelques détails techniques. Il explique que « dans la fonction interne swap », le hacker a défini la variable lastCalledPool (l’emplacement de stockage 0x00), sous swapUniV3. Ce serait en fait la cause principale de l’attaque. Car, en validant le mauvais contrat, tous les utilisateurs ciblés ont de fait autorisé, sans le savoir, le vol de leurs actifs.

On ne sait pas, pour le moment, si ces derniers pourraient être récupérés. SushiSwap, qui œuvre à s’améliorer, a toutefois indiqué qu’elle « travaille avec les équipes de sécurité pour atténuer le problème ». Il est notamment prévu de révoquer tous les contrats liés d’une manière ou d’une autre à la cyberattaque. Un outil de vérification des adresses touchées est également annoncé.