Fetch.ai perd 2 millions de dollars à cause d’une faille de sécurité dans un bridge

Fetch.ai a été victime d’un piratage au cours duquel environ 2 millions de dollars de jetons FET ont été dérobés. L’attaquant a exploité une faille de sécurité dans le TokenConversionManagerV3 du pont, selon la société de sécurité SlowMist.

En bref :

• L’attaquant a volé environ 2 millions de dollars de jetons FET via le pont Fetch.ai
• La vulnérabilité résidait dans des contrôles insuffisants lors de la conversion des jetons
• Une clé privée divulguée a été utilisée pour approuver la transaction

Déroulement du piratage

La vulnérabilité se trouvait dans la fonction conversionIn() de TokenConversionManagerV3. Ce composant du pont s’appuyait uniquement sur la signature d’une seule personne autorisée comme mesure de sécurité. Contrairement à la fonction conversionOut(), des contrôles essentiels manquaient, notamment la validation des limites et la vérification des preuves de destruction ou de verrouillage sur la chaîne.

L’attaquant a réussi à obtenir une clé privée de la personne autorisée et l’a utilisée pour signer un nouveau message destiné à sa propre adresse. Comme la validation de cette signature constituait le seul contrôle, la transaction a été approuvée. L’attaquant a ensuite pu vider en une seule transaction l’intégralité du solde en FET du pont.

Détails de l’attaque

L’adresse de l’attaquant (0x1572f2af7696b39c85e3221cde8efb640f86c362) a transféré les jetons volés vers l’adresse 0x2dcc1085fdcf418b421e45e86e4e54637cc21dfe. Le contrat vulnérable est situé à l’adresse 0xab424a430cc09864fa1277a38193111705adf3a3.

Cet incident souligne l’importance de contrôles de sécurité à plusieurs niveaux dans les applications blockchain. En particulier pour les fonctions critiques telles que les ponts de jetons, la validation doit s’effectuer à plusieurs niveaux plutôt que de reposer sur une seule signature.