Hong Kong Stablecoin Neobank Infini perd 49,5 millions de dollars à l'ancien développeur

Une violation de la confiance Rocks Rocks Stablecoin Neobank Infini, basée à Hong Kong, en tant qu'ancien développeur, prétendument conservant l'accès administratif, est soupçonné

A former developer of Hong Kong-based stablecoin neobank Infini is suspected of stealing nearly $50 million in a brazen exploit, according to a report by Web3 security firm ExVul on Friday.

Un ancien développeur de Stablecoin Neobank Infini, basé à Hong Kong, est soupçonné d'avoir volé près de 50 millions de dollars dans un exploit effronté, selon un rapport de la société de sécurité Web3 Exvul vendredi.

The stolen funds, initially present in USDC, were swiftly converted into DAI and subsequently into Ethereum (ETH) before being moved to an external wallet. This multi-step process is a common tactic used by attackers to obfuscate the trail of stolen funds. The incident underscores the persistent security vulnerabilities that plague the decentralized finance (DeFi) space.

Les fonds volés, initialement présents dans l'USDC, ont été rapidement convertis en DAI et par la suite en Ethereum (ETH) avant d'être déplacés vers un portefeuille externe. Ce processus en plusieurs étapes est une tactique courante utilisée par les attaquants pour obscurcir la piste des fonds volés. L'incident souligne les vulnérabilités de sécurité persistantes qui affligent l'espace financier décentralisé (DEFI).

Infini, which recently rebranded from X-Infinity, acknowledged the security compromise in a statement posted on X (formerly Twitter), expressing deep regret for the concern caused.

Infini, qui a récemment renommé X-Infinity, a reconnu le compromis de sécurité dans un communiqué publié sur X (anciennement Twitter), exprimant un regret approfondi pour la préoccupation causée.

“We’re aware of reports on a security compromise affecting Infini. We’re deeply sorry for the concern this causes – our team is working around the clock to investigate and secure all systems at the moment,” the company said.

«Nous sommes conscients des rapports sur un compromis de sécurité affectant Infini. Nous sommes profondément désolés pour la préoccupation que cela cause - notre équipe travaille au moment de la recherche pour enquêter et sécuriser tous les systèmes pour le moment », a déclaré la société.

Despite the setback, Infini reiterated its commitment to its mission: “All transfers, deposits, withdrawals, and payments remain in normal usage and working status. Despite the challenge, Infini’s vision — to redefine the future of digital finance as a crypto neo bank — has never changed. Keep building!”

Malgré le revers, Infini a réitéré son engagement envers sa mission: «Tous les transferts, dépôts, retraits et paiements restent dans l'utilisation normale et le statut de travail. Malgré le défi, la vision d'Infini - de redéfinir l'avenir de la finance numérique en tant que crypto neo bank - n'a jamais changé. Continuez à construire!

According to ExVul's analysis, the contract used in the exploit (0x9A79f4105A4e1A050Ba0b42F25351D394fA7E1DC) was created by the attacker (0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1) as part of the Infini project.

Selon l'analyse d'Exvul, le contrat utilisé dans l'exploit (0x9a79f4105a4e1a050ba0b42f25351d394fa7e1dc) a été créé par l'attaquant (0xc49b5e5b9da66b9126c1a62e9761e6b2147De3e1).

“After the project delivery, the attacker retained administrative privileges,” ExVul noted in an X post. “After over 100 days of dormancy, the attacker utilized the previously retained privileges from the contract’s development phase.”

"Après la livraison du projet, l'attaquant a conservé les privilèges administratifs", a noté Exvul dans un post X. «Après plus de 100 jours de dormance, l'attaquant a utilisé les privilèges précédemment conservés de la phase de développement du contrat.»

The attacker first transferred a small amount of Ethereum for gas fees, then interacted with the contract to steal all of the funds, which were then converted to DAI, and later to ETH, before being transferred to an external wallet (0xfcC8Ad911976d752890f2140D9F4edd2c64a6e49).

L'attaquant a d'abord transféré une petite quantité d'Ethereum pour les frais de gaz, puis a interagi avec le contrat pour voler tous les fonds, qui ont ensuite été convertis en DAI, puis à ETH, avant d'être transférés dans un portefeuille externe (0xfcc8ad911976d752890f2140d9f4edd2c64a6e49).

Infini's founder, known only as Christian, addressed the situation directly in a translated X post, revealing that a significant portion of the stolen funds belonged to major investors.

Le fondateur d'Infini, connu uniquement sous le nom de Christian, a abordé la situation directement dans un post traduit, révélant qu'une partie importante des fonds volés appartenait à de grands investisseurs.

“70% of the $50M stolen belonged to big investors I know. I have communicated with them one by one and I will personally bear the possible losses and settle privately,” Infini's founder said.

«70% des 50 millions de dollars volés appartenaient aux grands investisseurs que je connais. J'ai communiqué avec eux un par un et je supporterai personnellement les pertes possibles et je réglerai en privé », a déclaré le fondateur d'Infini.

He reassured other users about the remaining funds: “The remaining funds will be reinvested in Infini Vault before next Monday, and everything will remain the same. The funds have been prepared and will respond to any withdrawal requests in the meantime, so please rest assured.”

Il a rassuré d'autres utilisateurs sur les fonds restants: «Les fonds restants seront réinvestis à Infini Vault avant lundi prochain, et tout restera le même. Les fonds ont été préparés et répondront à toutes les demandes de retrait entre-temps, alors soyez assuré. »

Christian also acknowledged the need for temporary service adjustments, saying, “Sorry, it will take some time to upgrade and restart the business. Everything will be carried out under the premise of ensuring the absolute safety of funds. Shame on you, be grateful, and we will do better.”

Christian a également reconnu la nécessité d'ajustements de services temporaires, disant: «Désolé, il faudra un certain temps pour mettre à niveau et redémarrer l'entreprise. Tout sera effectué sous la prémisse d'assurer la sécurité absolue des fonds. Honte à vous, soyez reconnaissant, et nous ferons mieux.

Infini has promised to fully reimburse all affected users, a move that may help to mitigate some of the reputational damage caused by the exploit. However, the incident serves as a powerful reminder of the critical need for rigorous security protocols, including strict access control management and comprehensive code audits, particularly within the rapidly evolving and often-targeted DeFi ecosystem.

Infini a promis de rembourser pleinement tous les utilisateurs touchés, une décision qui pourrait aider à atténuer certains des dommages de réputation causés par l'exploit. Cependant, l'incident sert de puissant rappel du besoin critique de protocoles de sécurité rigoureux, notamment une gestion stricte du contrôle d'accès et des audits de code complets, en particulier dans l'écosystème de défi en évolution rapide et souvent ciblée.