Le projet Orbit Chain a été attaqué, avec une perte d'environ 80 millions de dollars.

Au début de la nouvelle année 2024, la plateforme de pont inter-chaînes Orbit Chain a subi un événement de sécurité majeur, avec des pertes s'élevant à environ 80 millions de dollars. Selon la plateforme de surveillance de la sécurité, les attaquants ont commencé des tests à petite échelle un jour avant et ont utilisé des ETH volés pour financer une attaque de grande envergure ultérieure.

Actuellement, l'équipe du projet a suspendu l'exploitation du contrat de pont inter-chaînes et tente de communiquer avec les attaquants. Les experts en sécurité ont effectué une analyse approfondie de cet événement, révélant les méthodes spécifiques de l'attaque et les flux de fonds.

Analyse des méthodes d'attaque

Les attaquants transfèrent principalement des actifs en appelant directement la fonction withdraw du contrat de pont Orbit Chain. Cette fonction utilise un mécanisme de vérification des signatures pour garantir la légitimité des retraits. Une analyse plus approfondie révèle que le contrat exige la signature d'au moins 70 % des administrateurs (c'est-à-dire 7 sur 10) pour exécuter la transaction de retrait.

Les experts estiment que cet incident est probablement dû à une attaque de spoofing contre le serveur qui stocke la clé privée de l'administrateur. Cela souligne l'importance de garder les clés privées en toute sécurité dans un mécanisme de signature multiple.

Chronologie des attaques

• 30 décembre 2023 : Les attaquants commencent des attaques exploratoires à petite échelle, volant une petite quantité d'ETH et la distribuant à d'autres adresses d'attaque en tant que frais.
• Le soir du 31 décembre 2023 : plusieurs adresses d'attaque ont lancé des attaques à grande échelle contre les actifs tels que DAI, WBTC, ETH, USDC, USDT.

Flux des fonds volés

L'attaquant transférera les fonds volés en les dispersant vers 5 adresses différentes :

• 30 millions de dollars Tether
• 10 millions de DAI
• 10 millions de dollars USDC
• 231 wBTC (environ 10 millions de dollars)
• 9500 ETH (environ 21,5 millions de dollars)

Avertissement de sécurité

Cet événement nous rappelle une fois de plus que la sécurité doit toujours être une priorité lors de la conception et de la mise en œuvre des systèmes blockchain. Les recommandations spécifiques incluent :

1. Renforcer la sécurité du code des contrats, en suivant les meilleures pratiques et les normes de sécurité.
2. Améliorer le mécanisme de vérification d'identité et de gestion des autorisations
3. Utiliser des mesures de sécurité avancées telles que la signature multiple
4. Effectuer régulièrement des audits de sécurité et des tests de vulnérabilité
5. Établir un plan de réponse d'urgence pour améliorer la capacité de traitement des incidents.

Dans le contexte du développement rapide de la finance décentralisée aujourd'hui, les équipes de projet et les utilisateurs doivent toujours rester vigilants, placer la sécurité au premier plan et ensemble maintenir un développement sain de l'écosystème blockchain.