Alerte Arnaque : Unleash Protocol victime d'une faille multisig - U.Today

Unleash Protocol a divulgué une activité non autorisée impliquant ses contrats intelligents, ayant conduit au retrait et au transfert de fonds des utilisateurs. Les investigations de CertiK Alert ont révélé des dépôts d’Ethereum dans Tornado Cash, suite à l’exploitation d’Unleash Protocol.

Unleash Protocol enquête sur une faille multisig

CertiK Alert a indiqué sur X qu’il avait détecté des dépôts de 1 337,1 ETH, évalués à environ 3,9 millions de dollars, transférés dans Tornado Cash. La plateforme a relié ce transfert à l’adresse de portefeuille, 0xc946981F5dFBFA10cf858B95d51Fc06DCD15BfE3.

CertiK Alert a ajouté que les fonds remontaient à des retraits suspects de Wrapped ETH et de tokens Story provenant d’un multisig possiblement compromis.

Le rapport intervient peu après l’annonce par Unleash Protocol qu’il enquêtait sur une faille ayant entraîné la perte de fonds des utilisateurs.

L’équipe d’Unleash Protocol a déclaré que la première investigation indiquait qu’une adresse contrôlée de manière externe avait obtenu un contrôle administratif via sa gouvernance multisig.

Suite à l’attaque, les exploitants ont effectué une mise à jour non autorisée du contrat, permettant des retraits d’actifs non autorisés. Cela s’est produit en dehors des procédures de gouvernance et d’exploitation prévues par Unleash.

Les actifs identifiés comme affectés incluent WIP, USDC, WETH, stIP et vIP. Après les retraits, les exploitants ont bridgé ces actifs en utilisant une infrastructure tierce avant de les envoyer à des adresses externes.

Comment Unleash gère l’exploitation

Dans son annonce, l’équipe d’Unleash Protocol a indiqué qu’il n’y avait aucune preuve de compromission des contrats Story Protocol, des validateurs ou de l’infrastructure sous-jacente. Ils ont également ajouté que l’impact semble limité aux contrats spécifiques à Unleash et aux contrôles administratifs.

L’équipe a cependant assuré que l’enquête est toujours en cours, et que toutes les conclusions seront confirmées avant la divulgation finale.

Pour prévenir tout risque supplémentaire, ils ont suspendu toutes les opérations d’Unleash Protocol. L’équipe a également précisé qu’elle travaille en étroite collaboration avec des experts en sécurité indépendants et des enquêteurs forensiques pour déterminer la cause racine.

Cela s’ajoute à une revue complète de l’activité des signataires multisig, des pratiques de gestion des clés et des processus de gouvernance.

Les utilisateurs sont donc invités à s’abstenir d’interagir avec les contrats d’Unleash Protocol et à ne suivre que les canaux de communication officiels d’Unleash pour des mises à jour précises.

Il est à noter que l’exploitation multisig d’Unleash n’est que la dernière parmi les vols de crypto récents. Comme indiqué dans un rapport de U.Today, un utilisateur de crypto a récemment perdu 50 millions de USDT dans une escroquerie de spoofing d’adresse.

Avant cette attaque, certains attaquants avaient exploité une faille de sécurité dans XWiki et DELMIA Apriso. En conséquence, les exploitants ont miné la cryptomonnaie Monero (XMR) sans permission.

Dans une autre escroquerie récente, de mauvais acteurs ont volé pour 773 000 dollars de crypto provenant du projet DeFi Hyperdrive.