Li.Fi, une API pour Ethereum Virtual Machine et Solana swaps and bridging, a été attaquée le 16 juillet, et plus de 10 millions de dollars en cryptomonnaies ont été drainés.

Un porte-parole de Li.Fi a informé Cointelegraph que l'exploitation du « smart contract » avait été maîtrisé et que la « facette du smart contract affectée avait été désactivée ».

Le porte-parole a expliqué que les utilisateurs ne couraient aucun autre risque et que l'équipe faisait appel « aux autorités chargées de l'application de la loi et aux tiers concernés, y compris les équipes de sécurité du secteur, pour retrouver les fonds ». 

Selon Cyvers, les systèmes de l'équipe ont alerté sur des transactions suspectes impliquant une adresse de contrat spécifique chez Li.Fi.

Cyvers a recommandé aux utilisateurs de révoquer leurs approbations pour l'adresse suspectée : 0x1231deb6f5749ef6ce6943a275a1d3e7486f4eae.

Dans un entretien avec Cointelegraph, Meir Dolev, co-fondateur et directeur technique chez Cyvers, a expliqué que les protocoles doivent être vigilants :

« Les pirates peuvent exploiter ces approbations pour drainer à la fois les actifs stockés dans les contrats et les fonds des portefeuilles connectés des utilisateurs ».
Source: Cyvers

À lire également : Des artistes philippins piratés pour promouvoir l'escroquerie au XRP

Avertissement de Li.Fi

Dans un message publié sur X le 16 juillet, Li.Fi a averti sa communauté que les utilisateurs ne devaient pas interagir avec les applications alimentées par Li.Fi jusqu'à nouvel ordre.

Lorsque l'attaque a commencé, l'équipe a expliqué qu'elle enquêtait sur l'exploit et a précisé que les utilisateurs qui « n'ont pas défini d'approbation infinie » n'étaient pas en danger.

Pour les utilisateurs qui définissent manuellement des approbations infinies, l'équipe Li.Fi a indiqué que les adresses suivantes devraient être révoquées :

  • 0x1231deb6f5749ef6ce6943a275a1d3e7486f4eae
  • 0x341e94069f53234fE6DabeF707aD424830525715
  • 0xDE1E598b81620773454588B85D6b5D4eEC32573e
  • 0x24ca98fB6972F5eE05f0dB00595c7f68D9FaFd68

À 11:44 am ET (15:44 UTC), Li.Fi a informé ses utilisateurs dans un message publié sur X que la vulnérabilité du contrat intelligent avait été atténuée. « Il n'y a actuellement aucun risque supplémentaire pour les utilisateurs », indique le message. « Les seuls portefeuilles affectés étaient configurés pour des approbations infinies et ne représentaient qu'un très petit nombre d'utilisateurs. »

À lire également : Lazarus transfère des millions de dollars provenant du piratage de 305 millions de dollars de DMM Bitcoin

10 millions de dollars drainés

Selon Cyvers, environ 10 millions de dollars de cryptomonnaies ont été drainés, ce qui a également affecté la blockchain Arbitrum.

Dolev a déclaré à Cointelegraph que « cet incident souligne les risques inhérents à l'octroi d'approbations de portefeuille aux smart contracts ».

Dans un post sur X mettant à jour la communauté sur la situation, Cyvers a de nouveau recommandé aux utilisateurs de révoquer l'adresse 0x1231deb6f5749ef6ce6943a275a1d3e7486f4eae pour éviter de nouvelles pertes.

À lire également : Dough Finance perd 1,8 million de dollars à la suite d'un prêt éclair

Des drains aux attaques de prêt éclair

Le protocole de finance décentralisée Dough Finance a également été récemment attaqué le 12 juillet, victime d'une attaque de prêt éclair de 1,8 million de dollars.

Cyvers a rapporté l'incident, expliquant que le pirate avait financé l'attaque via le protocole de confidentialité zéro connaissance Railgun et avait échangé l'USD Coin (USDC) volé contre de l'Ether (ETH).

Selon le fournisseur de sécurité Web3 Olympix, l'exploit, qui a généré 608 ETH et est évalué à environ 1,8 million de dollars, résulte de données d'appel non validées avec le « ConnectorDeleverageParaswap ».