Euler Finance Hacker rejette une offre de 20 millions de dollars et mélange 1 000 ETH en Tornado Cash

Le 16 mars, le piratage de 200 millions de dollars du protocole de prêt d’Euler Finance a pris une tournure inattendue lorsque l’auteur a apparemment rejeté l’offre de 20 millions de dollars en mélangeant 1 000 ETH (d’une valeur de 1,65 million de dollars) via Tornado Cash.

Selon PeckShield, l’attaquant a effectué dix transactions en Tornado Cash. Dans chacun d’eux, ils ont envoyé 100 ETH à une adresse intermédiaire. En conséquence, le pirate a maintenant masqué 1 000 ETH dans Tornado Cash et dispose de 1 500 ETH dans l’adresse utilisée pour mener l’attaque, ce qui rend extrêmement difficile pour Euler Finance (et les forces de l’ordre) de suivre l’IRL.

#PeckShieldAlert @eulerfinance exploiteur en déplacement
~1 000 $ETH dans Tornado Cash via l’adresse intermédiaire 0xc66d…c9ahttps://t.co/LAkY66YpoF pic.twitter.com/0XhQV1nbgn

– PeckShieldAlert (@PeckShieldAlert) 16 mars 2023

20 millions de dollars ne suffisaient pas

Le 15 mars, Euler Finance a offert publiquement à l’attaquant un accord dans lequel ils pourraient garder 10% des 200 millions de dollars volés s’ils rendaient le reste. Refuser de le faire se traduirait par Euler Finance offrant une récompense de 1 million de dollars à quiconque fournirait des informations ayant conduit à leur capture.

Mais selon les données de la chaîne, le pirate ne s’est pas soucié des suggestions d’Euler Finance et a plutôt mélangé les crypto-monnaies dans Tornado Cash quelques heures seulement après la publication de la proposition.

Mais ce n’était pas que de mauvaises nouvelles; le pirate a décidé d’envoyer 100 ETH à l’une des victimes après leurs supplications. L’un des utilisateurs qui a perdu ses fonds a déclaré au pirate qu’il était une personne humble qui pourrait perdre toutes les économies de sa vie s’il rejetait la récompense offerte par le protocole.

OUAH!@eulerfinance L’exploiteur a renvoyé 100 $ETH à un gars qui l’a supplié de récupérer l’argent car c’était ses économies pour la viehttps://t.co/Gz9aCUZB0H pic.twitter.com/DhZBenqtuS

– Wazz (@WazzCrypto) 16 mars 2023

Euler Finance a perdu 200 millions de dollars suite à une attaque éclair sur un prêt

Comme l’a récemment rapporté CryptoPotatoEuler Finance a perdu près de 200 millions de dollars en début de semaine après l’exploitation d’une vulnérabilité restée cachée pendant huit mois.

Selon le rapport post-mortem publié par la société de cybersécurité Omniscia, partenaire d’audit d’Euler Finance, l’attaque provenait d’une vulnérabilité dans le mécanisme de don du protocole qui permettait au pirate de créer une position surendettée qui, une fois liquidée dans le même bloc, artificiellement l’a fait couler, en gardant 200 millions de dollars divisés en DAI, USDC, WBTC et ETH.

Omniscia a conclu que l’attaque résultait d’un mécanisme de don incorrect introduit dans la dernière mise à jour du protocole (eIP-14), qu’ils n’ont jamais analysé.

« La fonctionnalité EToken :: donateToReserve qui est au cœur de cette vulnérabilité n’était pas couverte par un audit effectué par Omniscia. En tant que tel, le code à l’origine de la vulnérabilité n’a jamais fait l’objet d’un audit effectué par notre équipe.

À ce stade, on ne sait pas si le pirate a l’intention de renvoyer l’éther restant au protocole pour éviter d’être traqué par des pirates blancs, des sociétés de traçabilité de la blockchain et même des forces de l’ordre.