OMNI, un protocole NFT, a perdu 1300ETH dans une attaque de réentrance

TL: DR
- Le protocole NFT OMNI a subi une brèche, et 1 300 ETH de fonds de test internes ont été volés.
- L'attaquant a utilisé une attaque par réentraînement, qui est une méthode utilisée pour tirer parti des failles des contrats intelligents.
- L'espace NFT reste une cible populaire pour les mauvais acteurs qui cherchent des occasions de compromettre les systèmes et de voler de l'argent partout où ils le peuvent.

Mots-clés : OMNI, NFT, réentraînement, piratage, protocole, fonds d'essai.

Le 10 juillet 2022, le protocole NFT OMNI a subi une violation, perdant 1 300 ETH de fonds de test. Selon le marché monétaire NFT, aucun fonds d'utilisateur n'a été affecté. L'équipe d'OMNI a expliqué en outre que le protocole était encore en phase bêta alors qu'il avait été suspendu. Elle a ajouté qu'elle enquêtait actuellement sur la cause de l'attaque. Cependant, la société de sécurité blockchain, PeckShield, a déclaré plus tard qu'il semblait s'agir d'une attaque liée à la réentraînement. L'équipe d'OMNI doit encore procéder à un examen complet et post-mortem de l'attaque.

OMNI Tweet

Plusieurs attaques ont eu lieu dans l'espace DeFi et NFT, les mauvais acteurs ayant volé des centaines de millions de dollars.

OMNI est un marché monétaire NFT qui fournit des services de prêt et d'emprunt. Les utilisateurs peuvent gagner des intérêts en prêtant des NFT et d'autres jetons ERC-20. Les actifs peuvent également être utilisés comme garantie pour les prêts.

Plusieurs attaques ont eu lieu dans l'espace DeFi et NFT, les mauvais acteurs ayant volé des centaines de millions de dollars.

OMNI est un marché monétaire NFT qui fournit des services de prêt et d'emprunt. Les utilisateurs peuvent gagner des intérêts en prêtant des NFT et d'autres jetons ERC-20. Les actifs peuvent également être utilisés comme garantie de prêt.


NFT et cyber-attaque

---

Malgré le ralentissement des ventes, le marché des NFT reste l'un des segments les plus actifs de l'industrie des crypto-monnaies. Par conséquent, il se classe parmi les principales cibles des pirates informatiques, qui cherchent des occasions de compromettre les systèmes et de voler de l'argent partout où cela est possible.

De tels événements se sont produits à de nombreuses reprises cette année. XCarnival, un pool de prêts NFT, a perdu environ 4 millions de dollars à cause d'une attaque, bien que le pirate ait reçu une récompense de 1 500 ETH. De multiples tentatives de phishing ont également été lancées contre le Bored Ape Yacht Club, ciblant Discord et d'autres plateformes de médias sociaux.

L'incident le plus notable dans ce domaine a été le piratage de Ronin Bridge, qui a entraîné un vol de plus de 600 millions de dollars. Les analystes pensent que des hackers nord-coréens étaient derrière cet incident. Cependant, en raison de la récente baisse du marché, la valeur de la crypto-monnaie volée par la Corée du Nord a considérablement diminué.


Qu'est-ce qu'une attaque de réentraînement ?

---

La réentrance est un terme utilisé en informatique depuis de nombreuses années pour décrire le processus par lequel un processus peut être interrompu au milieu de son exécution, une autre occurrence de la même fonction peut commencer, et les deux processus peuvent se terminer jusqu'au bout. Chaque jour, nous utilisons des fonctions réentrantes pour calculer en toute sécurité. Un bon exemple est la possibilité de lancer un brouillon de courriel sur un serveur, de le quitter pour envoyer un autre courriel, puis de revenir au brouillon pour le terminer et l'envoyer.

Prenons l'exemple d'un système bancaire en ligne mal conçu pour effectuer des virements, dans lequel le solde du compte n'est vérifié que pendant la phase d'initialisation. Un utilisateur peut lancer plusieurs virements sans en envoyer aucun. Le système bancaire confirmera que le compte de l'utilisateur dispose de suffisamment de fonds pour chaque transfert. Si aucune vérification supplémentaire n'est effectuée au moment de l'envoi effectif, l'utilisateur peut potentiellement envoyer toutes les transactions et dépasser son solde.


Exemples d'attaques de réentraînement notoires

---

Hacking de la DAO

L'exemple le plus connu d'une attaque par réentraînement s'est produit en 2016 lorsque la DAO (organisation autonome décentralisée) d'Ethereum a été piratée pour 60 millions de dollars en Ether. Pour ceux qui ne sont pas familiers, la DAO d'Ethereum était un projet conçu pour fonctionner comme une société de capital-risque dirigée par des investisseurs, dans laquelle les membres du réseau pouvaient voter sur les initiatives dans lesquelles investir.

Le DAO a levé la somme incroyable de 150 millions de dollars dans l'un des projets de crowdfunding les plus réussis de l'histoire. Cependant, des informaticiens et d'autres membres de la communauté se sont inquiétés du fait que le contrat intelligent détenant les fonds était vulnérable à une attaque par réentraînement en raison d'un bug d'appel récursif dans le code.

Le piratage de DAO est depuis devenu un moment décisif dans l'histoire de la blockchain, notamment parce qu'il a déclenché un hard fork d'Ethereum pour récupérer les fonds, donnant naissance à Ethereum Classic dans le processus. Il s'agit également d'une véritable expérience d'apprentissage pour la sécurité des blockchains, les vulnérabilités de réentrance étant un point de contrôle standard pour tout audit professionnel des contrats intelligents.

Protocole Lendf.me
Le 18 avril 2020, un pirate a utilisé une attaque par réentraînement pour dérober 25 millions de dollars au protocole Lendf.me, un protocole de finance en crypto-monnaie conçu pour prendre en charge les opérations de prêt sur la plateforme Ethereum. L'attaquant a exploité une faille dans la plateforme Lendf.me qui permettait aux jetons ERC777 - une norme de jeton Ethereum pour des interactions plus complexes lors des échanges de jetons - d'être utilisés comme garantie. Les développeurs n'ont pas remarqué que les jetons ERC777 comprennent une fonction de rappel qui alerte les utilisateurs lorsque de l'argent est envoyé ou reçu. Les pirates pourraient exploiter cette norme de jeton, par ailleurs sécurisée, au moyen d'attaques de réentrée sophistiquées en faisant du destinataire un contrat intelligent, vidant ainsi la plateforme Lendf.me de 99,5 % de ses fonds.


Façons possibles de prévenir les attaques par réentraînement

---

Tout d'abord, vous devez faire réaliser un audit tiers des contrats intelligents sur votre projet. Cette étape est l'une des plus efficaces. De plus, les développeurs qui cherchent à se défendre contre les attaques par réentraînement doivent prêter une attention particulière à la structure de leur code, notamment autour de tout contrat intelligent contenant des fonctions de rappel. Souvent, si un audit de contrat intelligent identifie un projet comme étant vulnérable à une attaque par réentraînement, il conseille de restructurer le code pour mettre à jour les soldes avant l'envoi des fonds. Sinon, ils peuvent suggérer d'utiliser une fonction différente pour le transfert de fonds.

Les développeurs de l'espace NFT et de l'industrie de la blockchain doivent élever leur niveau de jeu en termes de sécurité et ne jamais prendre de risque sur la structure de leur code, ce qui peut faire tomber tout un projet à l'eau. OMNI a eu de la chance cette fois-ci. Le pirate n'a volé que des fonds de test internes et non des actifs précieux cette fois-ci.







Auteur : Observateur Gate.io : M. Olatunji

Clause de non-responsabilité:
* Cet article ne représente que l'opinion des observateurs et ne constitue pas une suggestion d'investissement.
*Gate.io se réserve tous les droits sur cet article. La rediffusion de l'article sera autorisée à condition que Gate.io soit référencé. Dans tous les autres cas, une action en justice sera engagée pour violation des droits d'auteur.