L'attaquant derrière l'exploit du bot Ethereum MEV, Jaredfromsubway, a transféré des millions de dollars via Tornado Cash, malgré une offre publique de restituer la moitié des fonds volés en échange d'une prime de chapeau blanc.
Le transfert suggère que l’attaquant pourrait avoir peu d’intérêt à négocier, même si l’opérateur du bot offre des récompenses et prétend avoir eu des discussions avec des groupes de récupération potentiels.
Comment le robot a été battu à son propre jeu
L'exploit, selon Peckshield, s'est produit le 20 juin et a rapporté à l'attaquant 1 474 WETH, 2,87 millions de dollars USDC et 2 millions de dollars USDT, sans qu'aucun code ne soit apparemment déchiffré.
Une autre société de sécurité blockchain, Blockaid, a expliqué que la personne responsable a construit un certain nombre de faux jetons wrapper, notamment fWETH, fUSDC et fUSDT, et les a associés à de faux pools de liquidités qui sont apparus au système d'analyse automatisé du robot comme des opportunités MEV rentables.
Il a ensuite fait exactement ce pour quoi il avait été conçu : repérer une transaction soi-disant juteuse et accorder des approbations symboliques aux contrats d’assistance de l’attaquant. Selon l’analyse de Blockaid, lors des premières transactions de test, ces approbations ont été utilisées normalement, ce qui signifie que rien n’a été signalé comme suspect. Plus tard, l’exploiteur a créé des itinéraires dans lesquels le robot a continué à accorder des approbations qui n’ont jamais été révoquées, accumulant ainsi des droits de dépenses sur les avoirs du robot en attendant le bon moment.
Lorsque ce moment est finalement arrivé, le contrat de l'attaquant a utilisé ces approbations ouvertes pour extraire WETH, $USDC et $USDT directement du contrat Jaredfromsubway à l'aide d'appels transferFrom standard. Le chercheur en cryptographie RaFi, qui a publié un fil de discussion détaillé sur l'incident, l'a décrit comme une « classe de maître en ingénierie sociale en chaîne ».
La réponse de l’opérateur du robot s’est fait par vagues. Ils ont d'abord offert une récompense d'un million de dollars au pirate informatique pour qu'il restitue l'argent volé, ainsi que 50 000 dollars supplémentaires à toute personne susceptible de les aider à retrouver l'attaquant. Peu de temps après, ils ont offert une prime « urgente » de 3 millions de dollars pour les fonds, promettant une confidentialité totale et sans poser de questions.
Vous aimerez peut-être aussi :
BitMine, SharpLink et Joe Lubin soutiennent les nouveaux ETHLabs à but non lucratif d'Ethereum
Une nouvelle proposition redirige 10 % des récompenses de mise pour financer l'écosystème Ethereum
La divergence des revenus : pourquoi l’activité record d’Ethereum n’augmente pas le prix de l’ETH en $
Sans réponse visible, l'opérateur Jaredfromsubway a décidé d'envoyer un message en chaîne indiquant qu'il accepterait 2 150 $ ETH, soit environ 50 % du transport, et a donné à l'attaquant 48 heures pour répondre, avec l'intention de « poursuivre tous les recours juridiques et répressifs disponibles » si le délai est dépassé sans retour.
Mais l'attaquant semble avoir donné une certaine réponse, Onchain Lens rapportant qu'il a récemment transféré 2 000 $ ETH, d'une valeur d'environ 3,4 millions de dollars, via Tornado Cash. Ils auraient également vendu 1 422 $ETH pour environ 2,4 millions de dollars en DAI, et il ne leur restait que 5 $ETH dans leur portefeuille.
Contact Chapeau Blanc
Dans la dernière mise à jour, le coureur de robots a déclaré qu'un groupe autoproclamé de chapeau blanc avait pris contact et que des négociations étaient en cours, même si rien n'avait été confirmé.
Les développeurs de blockchain ont essayé de trouver des moyens de réduire l'activité MEV, l'une de ces méthodes étant une proposition d'Aptos visant à chiffrer les systèmes de pool de mémoire afin de préserver la confidentialité des transactions jusqu'à leur exécution.