SpankChain perd 40 000 $ suite à un piratage informatique dû à un bug de contrat intelligent

SpankChain, un projet de Cryptomonnaie axé sur l'industrie pour adultes, a subi une violation qui a vu près de 40 000 $ en Ethereum ETH$3.134,06 volés.

Dans unarticle de blog Publié mardi, l'équipe de SpankChain a révélé le piratage, indiquant que 165,38 ETH (d'une valeur d'environ 38 000 $ à l'époque) avaient été perdus vers 18 h 00 PST samedi. L'intrusion, rendue possible par un bug dans le contrat intelligent du canal de paiement du réseau, a également entraîné le gel de 4 000 $ du jeton BOOTY de SpankChain.

Il a apparemment fallu plus de 24 heures au projet pour se rendre compte que le piratage avait eu lieu, le message indiquant :

« Malheureusement, alors que nous étions en train d'enquêter sur d'autres bugs de contrats intelligents, nous n'avons T réalisé que le piratage avait eu lieu avant 19h00 PST dimanche, date à laquelle nous avons mis Spank.Live hors ligne pour empêcher que des fonds supplémentaires ne soient déposés dans le contrat intelligent des canaux de paiement. »

Parmi les cryptomonnaies volées, 9 300 $ en ETH et en BOOTY appartenaient aux utilisateurs, le reste au projet. Selon l'article de blog, les remboursements complets seront « directement versés sur les comptes SpankPay des utilisateurs et seront disponibles dès le redémarrage de Spank.Live ».

SpankChain a prévenu qu'un retard de 2 à 3 jours serait nécessaire, le temps que ses développeurs corrigent le problème à l'origine du piratage, redéployent un nouveau contrat intelligent et corrigent les autres problèmes contractuels déjà en cours de résolution. Des limites d'utilisation des jetons BOOTY ont également été mises en place temporairement.

Jusqu'à présent, selon l'équipe, il semble que l'attaque soit due à un bug de « réentrée », similaire à ONE qui a permis à un piratage majeur du projet Crypto DAO en 2016.

« L'attaquant a créé un contrat malveillant se faisant passer pour un jeton ERC20, où la fonction « transfert » a rappelé le contrat du canal de paiement plusieurs fois, drainant à chaque fois une partie de ETH », a déclaré l'équipe, ajoutant qu'elle entreprendrait une « enquête approfondie sur l'attaque » dans les prochains jours.

SpankChain a également admis avoir décidé de ne pas payer pour un audit de sécurité pour le contrat de canal de paiement en raison des coûts impliqués. Cependant, « en tenant compte à la fois de la valeur de perception et du coût d'opportunité du temps passé à réagir au piratage, cela en aurait valu la peine », indique le message.

L'entreprise a conclu en s'engageant à améliorer ses pratiques de sécurité, « en s'assurant d'obtenir plusieurs audits internes pour tout code de contrat intelligent que nous publions, ainsi qu'au moins un audit externe professionnel ».

Contenu pour adultesimage via Shutterstock