Le protocole Dough Finance perd 1,96 million de dollars lors d'une attaque de prêt flash

Un autre protocole DeFi a été victime d’un exploit vendredi matin. Dough Finance, un protocole open source pour créer des marchés de liquidité non dépositaires

DeFi protocol Dough Finance fell victim to a flash loan attack on Friday morning, leading to the theft of nearly $2 million in user funds. The project’s team announced they are working to resolve the situation promptly.

Le protocole DeFi, Dough Finance, a été victime d'une attaque de prêt flash vendredi matin, entraînant le vol de près de 2 millions de dollars de fonds d'utilisateurs. L'équipe du projet a annoncé qu'elle s'efforçait de résoudre la situation rapidement.

According to Web3 blockchain security platform Cyvers, it detected multiple suspicious transactions involving Dough Finance. The attacker manipulated the protocol's smart contract and stole $1.8 million in USDC.

Selon la plateforme de sécurité blockchain Web3 Cyvers, elle a détecté plusieurs transactions suspectes impliquant Dough Finance. L'attaquant a manipulé le contrat intelligent du protocole et a volé 1,8 million de dollars en USDC.

The attacker, funded through the zero-knowledge (ZK) protocol Railgun, swapped the misappropriated funds to Ethereum (ETH), initially obtaining 608 ETH.

L'attaquant, financé via le protocole à connaissance nulle (ZK) Railgun, a échangé les fonds détournés contre Ethereum (ETH), obtenant initialement 608 ETH.

However, further analysis by Web3 security provider Olympix revealed that the exploit occurred due to “calldata within the ConnectorDeleverageParaswap contract.” The report highlighted that the contract failed to adequately check the flash loan calls data.

Cependant, une analyse plus approfondie réalisée par le fournisseur de sécurité Web3 Olympix a révélé que l'exploit s'est produit en raison de « données d'appel dans le contrat ConnectorDeleverageParaswap ». Le rapport souligne que le contrat n'a pas vérifié de manière adéquate les données des appels de prêt flash.

The unvalidated calldata allowed the exploiter to manipulate the contract's data and send the funds to an Externally Owned Account (EAO), enabling them to withdraw the stolen crypto.

Les données d'appel non validées ont permis à l'exploiteur de manipuler les données du contrat et d'envoyer les fonds vers un compte externe (EAO), lui permettant ainsi de retirer la crypto volée.

Following the initial reports, a second batch of attacks occurred, leading to the loss of another $141,000 in USDC, raising the total crypto heist to $1.96 million.

À la suite des premiers rapports, une deuxième série d'attaques s'est produite, entraînant une perte supplémentaire de 141 000 dollars en USDC, portant le montant total du vol de crypto à 1,96 million de dollars.

However, lending protocol Aave's pools remained unaffected, according to Cyvers.

Cependant, selon Cyvers, le protocole de prêt des pools d'Aave n'est pas affecté.

After the initial reports, the DeFi protocol acknowledged the attack and urged users to withdraw their remaining funds from the protocol. Later, Dough Finance announced it had identified and closed the exploit.

Après les premiers rapports, le protocole DeFi a reconnu l'attaque et a exhorté les utilisateurs à retirer leurs fonds restants du protocole. Plus tard, Dough Finance a annoncé avoir identifié et clôturé l'exploit.

The project confirmed that “a few early Dough DeFi Smart Accounts (DSAs)” were victim to a sophisticated exploit.

Le projet a confirmé que « quelques premiers comptes intelligents Dough DeFi (DSA) » ont été victimes d'un exploit sophistiqué.

In a statement, Dough Finance assured that its team is actively working to address the incident, aiming to recover the funds and making investors whole.

Dans un communiqué, Dough Finance a assuré que son équipe travaillait activement pour remédier à l'incident, dans le but de récupérer les fonds et de rétablir l'intégrité des investisseurs.

Online reports also revealed that the team reached out to the exploiter through an on-chain message, offering to discuss a bounty if they had “exploited this vulnerability as a white or grey hat.”

Des rapports en ligne ont également révélé que l'équipe avait contacté l'exploiteur via un message en chaîne, lui proposant de discuter d'une prime s'il avait « exploité cette vulnérabilité comme un chapeau blanc ou gris ».

The message also included the address where the funds should be directly transferred if the exploiter wished to return the stolen crypto.

Le message comprenait également l’adresse à laquelle les fonds devaient être directement transférés si l’exploiteur souhaitait restituer la crypto volée.

The exploiter has until Monday, July 15, 2024, at 23:00 UTC to contact the DeFi protocol. If the team doesn't receive an answer, they will “assume you appropriated the funds with unlawful intent and will pursue all criminal, legal, and administrative avenues available” to recover the misappropriated funds.

L'exploiteur a jusqu'au lundi 15 juillet 2024, à 23h00 UTC pour contacter le protocole DeFi. Si l'équipe ne reçoit pas de réponse, elle « supposera que vous vous êtes approprié les fonds avec une intention illégale et poursuivra toutes les voies pénales, juridiques et administratives disponibles » pour récupérer les fonds détournés.

This incident highlights the ongoing threat posed by scammers to the DeFi sector. Earlier this week, several DeFi projects, including Compound Finance, were compromised in a phishing attack.

Cet incident met en évidence la menace persistante que représentent les fraudeurs pour le secteur DeFi. Plus tôt cette semaine, plusieurs projets DeFi, dont Compound Finance, ont été compromis lors d'une attaque de phishing.

The projects were reportedly victims of a DNS domain attack, which redirected users to a fake website. The copy website functioned as a drainer tool, capable of draining users' funds if they interacted with it.

Les projets auraient été victimes d'une attaque de domaine DNS, qui redirigeait les utilisateurs vers un faux site Web. Le site Web de copie fonctionnait comme un outil de drainage, capable de drainer les fonds des utilisateurs s'ils interagissaient avec lui.

As a result, the teams of the affected projects quickly urged customers not to interact with the websites until further notice, to prevent any potential losses.

En conséquence, les équipes des projets concernés ont rapidement exhorté les clients à ne pas interagir avec les sites Internet jusqu'à nouvel ordre, afin d'éviter d'éventuelles pertes.