Premia Labs a subi une exploitation de cryptomonnaie estimée à 464 600 $ sur Arbitrum, l'attaquant ayant apparemment déplacé les fonds volés à travers plusieurs blockchains avant de les convertir en Bitcoin.
Résumé
- PeckShield a rapporté que Premia Labs a perdu environ 464 600 $ dans une exploitation ciblant ses coffres d'options sur Arbitrum.
- Blockaid a retracé l'attaque jusqu'à des pools d'options vides, des prêts flash et des transactions qui ont permis à l'attaquant de retirer le collatéral des coffres.
- Les actifs volés auraient été déplacés d'Arbitrum vers Ethereum avant d'être convertis en Bitcoin via Chainflip et NEAR Intents.
- Une analyse indépendante on-chain a identifié six coffres affectés contenant du WBTC, du WETH, de l'USDC.e et de l'ARB.
- L'attaque fait suite à plusieurs incidents de sécurité liés aux cryptomonnaies impliquant des transferts inter-chaînes et des services de trading décentralisés.
Selon la société de sécurité blockchain PeckShield, l'attaquant a transféré les actifs volés d'Arbitrum vers Ethereum avant d'utiliser Chainflip et NEAR Intents pour les échanger en BTC. Son alerte de sécurité du 1er novembre a estimé les pertes à 464 600 $, soit environ 131 ETH selon la valorisation citée dans les rapports initiaux.
L'incident a affecté les coffres d'options associés à Premia Labs, la société de développement on-chain derrière la plateforme de dérivés Kyan. Les chercheurs en sécurité ont identifié une série de transactions qui ont déplacé le collatéral hors des coffres en utilisant des pools de trading nouvellement créés.
L'attaquant de Premia Labs vide les coffres d'options à l'aide de prêts flash
La société de sécurité blockchain Blockaid a d'abord signalé l'exploitation le 1er novembre, rapportant qu'environ 400 500 $ avaient été drainés au cours de deux transactions.
Ses conclusions initiales décrivaient un attaquant qui a créé des pools d'options vides, emprunté des fonds via des prêts flash et acheté des options qui ont provoqué le verrouillage du collatéral des coffres à l'intérieur de ces pools.
L'attaquant a ensuite retiré le collatéral en tant que liquidité, permettant aux actifs initialement détenus dans les coffres de Premia de se déplacer vers des portefeuilles contrôlés par l'attaquant.
Les prêts flash permettent aux utilisateurs d'emprunter des cryptomonnaies sans fournir de collatéral traditionnel, à condition que le prêt soit remboursé dans la même transaction blockchain.
Dans ce cas, les conclusions de Blockaid indiquent que les fonds empruntés ont aidé l'attaquant à exécuter des transactions qui ont redirigé les actifs des coffres vers des pools créés pour l'opération.
La société de sécurité a averti que l'exploitation était en cours lorsqu'elle a publié ses premières conclusions. Son estimation de 400 500 $ couvrait donc les transactions identifiées à ce stade, tandis que PeckShield a ensuite rapporté le chiffre plus élevé de 464 600 $.
Les actifs affectés comprenaient 3,64 Bitcoin enveloppés, environ 43,47 Ethereum enveloppés, 48 479 USDC.e et 46 215 ARB.
Selon les registres de transactions, les deux principaux retraits ont eu lieu vers 03h15 UTC le 1er novembre, à environ une seconde d'intervalle.
Les différentes estimations de pertes reflètent des évaluations distinctes de l'incident et ne doivent pas être considérées comme des vols supplémentaires.
Les fonds volés de Premia transitent par Chainflip et NEAR Intents
Une fois le collatéral sorti des coffres affectés, PeckShield a suivi le déplacement des actifs volés d'Arbitrum vers Ethereum.
L'attaquant aurait poursuivi les transferts via Chainflip et NEAR Intents, deux services qui prennent en charge les échanges de cryptomonnaies entre différents réseaux blockchain.
Chainflip permet aux utilisateurs d'échanger des actifs entre les réseaux pris en charge sans dépendre d'une bourse centralisée conventionnelle. NEAR Intents coordonne les transactions dans lesquelles les utilisateurs spécifient les actifs qu'ils souhaitent recevoir.
PeckShield a identifié le Bitcoin comme l'actif reçu via la route de conversion signalée.
Le recours à de multiples services signifie que les enquêteurs doivent suivre les transactions à travers différents réseaux blockchain pour établir où les actifs volés ont été envoyés.
Cependant, les transferts signalés n'établissent pas que l'une ou l'autre des plateformes ait sciemment aidé l'attaquant. Aucun des deux services n'a été identifié comme la source de la vulnérabilité de Premia.
L'incident Premia intervient dans un contexte d'attention accrue portée au blanchiment de cryptomonnaies après le piratage de Binance du 29 octobre.
Comme crypto.news l'a précédemment rapporté, l'attaquant de Binance a déplacé les actifs volés à travers de multiples réseaux, tandis que les émetteurs de jetons et les enquêteurs blockchain s'efforçaient de geler les fonds.
Les enquêteurs ont retracé une partie de ces actifs jusqu'à des services de prêt et d'échange décentralisés, où les transactions se sont poursuivies après le vol initial.
L'attaquant de Premia a utilisé une méthode différente pour obtenir des fonds, Blockaid ayant identifié une manipulation du pool d'options plutôt qu'un contrôle compromis du portefeuille de l'échange.
Les enquêteurs crypto font face à un autre incident de sécurité inter-chaînes
Le déplacement de fonds volés via des services DeFi a suscité un examen attentif à la suite de plusieurs attaques récentes contre des cryptomonnaies.
Lors de l'incident Binance, les enquêteurs ont identifié un portefeuille contrôlé par l'attaquant qui a déposé 60 millions d'USDT dans Aave avant d'emprunter environ 19 762 ETH wrappés.
Cette activité d'emprunt a incité les gardiens de la sécurité d'Aave à introduire des restrictions temporaires sur plusieurs marchés de prêt.
Une enquête du 31 octobre sur Aave a conclu que le protocole de prêt lui-même n'avait pas été compromis, bien que ses mesures d'urgence aient temporairement restreint les nouveaux dépôts et les emprunts.
Aave a ensuite rouvert ses marchés affectés après avoir achevé les contrôles de sécurité.
Séparément, l'enquête sur le portefeuille Binance a identifié des transactions d'autorisation Ethereum malveillantes qui ont permis à l'attaquant de rediriger des fonds depuis un portefeuille chaud.
Ces incidents impliquaient différentes faiblesses, mais les enquêteurs ont rencontré des actifs volés se déplaçant entre des réseaux de cryptomonnaies et des protocoles financiers.
Le FBI a depuis exhorté les échanges, les opérateurs de finance décentralisée et les fournisseurs de services blockchain à bloquer les transactions liées aux attaquants identifiés lors de la violation de Binance.
Premia Labs n'avait pas publié d'explication publique détaillée des coffres-forts affectés, des modalités de récupération ou de tout remboursement prévu au moment des premiers rapports de sécurité.
