Le protocole GaslessReservoirEnabler piraté, 23 000 dollars volés

Une faille de sécurité dans le contrat GaslessReservoirEnabler a permis à des attaquants de dérober plus de 23 000 dollars en cryptomonnaies à près d’un millier d’utilisateurs. L’auteur a exploité des autorisations de jetons existantes sur WETH et ZED grâce à une faille dans la vérification de la propriété.

En bref :

• Une faille de sécurité a permis à un pirate de retirer des jetons WETH et ZED de 997 portefeuilles
• Les fonds volés ont été consolidés puis transférés vers Polygon via un pont
• Le contrat vulnérable ne contrôlait pas correctement les adresses de modules, ce qui permettait à n’importe quel appelant d’exécuter des distributions de jetons

Comment l’attaque a fonctionné

Le problème se situait dans la fonction erc20WithTransfersAndExecute de GaslessReservoirEnabler. Même si le contrat vérifiait quelles adresses de modules étaient autorisées, il ne reliait pas les instructions de transfert ERC20 à un propriétaire autorisé. Cela a ouvert la porte aux attaquants.

Un attaquant a ainsi pu exploiter les autorisations de jetons que les utilisateurs avaient déjà accordées au contrat. En détournant ces autorisations, il a pu transférer directement les soldes en WETH et ZED des victimes vers le pirate, sans qu’une nouvelle autorisation soit nécessaire.

Dommages et suites

Au total, 997 adresses ont été touchées. Le portefeuille de l’attaquant, connu sous l’adresse 0x46f54c1a86575679fc3d29666c1717e9786279aa, a consolidé l’ensemble du butin et l’a envoyé vers un pont en direction de Polygon. L’entreprise de sécurité SlowMist, qui a détecté l’attaque et mené l’enquête, indique que l’affaire est désormais connue dans la communauté.