371 000 $ USDC volés dans l’exploitation d’un prêt flash Avalanche

Le protocole de prêt basé sur les avalanches Nereus Finance a été piraté et 371 000 $ en USD Coin (USDC) ont été volés. Le pirate informatique a mis en place un contrat intelligent personnalisé en tirant parti d’un prêt flash de 51 millions de dollars d’Aave.

CertiK, une entreprise de cybersécurité blockchain, a été l’une des premières à détecter l’attaque du 6 septembre. CertiK a déclaré à l’époque que l’exploit affectait les pools de liquidités liés à l’échange décentralisé Trader Joe et au teneur de marché automatisé Curve Finance sur Nereus.

Mais Curve Finance a répondu le 7 septembre en faisant valoir que CertiK faisait peut-être référence aux « actifs affectés » plutôt qu’aux protocoles affectés, puisque seuls Nereus Finance et ses actifs semblaient être affectés par l’exploit.

post-mortem de l’exploit

Le 7 septembre, Nereus Finance a publié un rapport complet exploiter post mortem disant que le pirate a pu déployer un contrat intelligent personnalisé ciblant un prêt flash de 51 millions de dollars d’Aave pour manipuler le prix du groupe AVAX/USDC Trader Joe LP pour un seul bloc.

Par conséquent, le pirate a pu frapper 998 000 NXUSD, le jeton Nereus natif, en utilisant une garantie d’une valeur de 508 000 $. Le pirate informatique a ensuite échangé le NXUSD frappé contre différents actifs via divers pools de liquidités et a réussi à repartir avec un bénéfice net de 371 406 $ après le remboursement du prêt flash.

Alors que le pirate a réalisé un profit, l’exploit a créé une « créance irrécouvrable » d’une valeur de 508 000 $ en NXUSD.

Cependant, Nereus n’a pas tardé à arrêter la situation en élaborant un plan d’atténuation, en informant les forces de l’ordre, puis en liquidant et en arrêtant le groupe JLP exploité. Les créances irrécouvrables de NXUSD ont été remboursées à l’aide de la trésorerie du protocole.

Nereus a également noté qu’une vulnérabilité similaire ne sera pas possible à l’avenir, car le protocole modifiera ses pratiques d’audit et de sécurité. Néron a noté :

« Bien que cet exploit soit un mauvais incident, il n’est pas rare que les protocoles soient confrontés à ce genre de tests de combat. »

Au moment d’écrire ces lignes, l’équipe de Nereus essayait toujours d’identifier le pirate en suivant les fonds. Il a offert une récompense White Hat de 20% pour le retour des fonds sans poser de questions.