Zetachain subit une attaque cryptographique de 334 000 dollars, la vulnérabilité étant due à un programme de récompense pour bugs antérieur

Le site Web de Coinjie a annoncé que Zetachain a récemment été victime d’une attaque coordonnée, entraînant une perte d’environ 334 000 dollars américains, la cible de l’attaque étant les fonds contrôlés par ses protocoles sur Ethereum, Arbitrum, Base et BNB Smart Chain. La vulnérabilité avait été signalée précédemment via le programme de récompenses pour bugs du projet, mais considérée comme un comportement normal par l’équipe. Zetachain a indiqué lors de son analyse post-incident que l’attaquant a exploité plusieurs défauts de conception, notamment des instructions inter-chaînes illimitées, des permissions d’exécution de contrats trop larges, ainsi que des approbations de tokens infinies laissées lors d’interactions précédentes avec le portefeuille. L’attaquant a également financé le portefeuille à l’avance via Tornado Cash. Cet incident a suscité une large attention, car la vulnérabilité à l’origine de l’attaque avait été identifiée auparavant, mais ignorée par l’équipe. Zetachain a déclaré que l’attaque n’était pas causée par un seul défaut catastrophique, mais par la combinaison de plusieurs petits défauts de conception devenus dangereux lorsqu’ils sont réunis. Pour faire face à cet incident, Zetachain a commencé à déployer des correctifs de sécurité, désactivant en permanence la fonction d’appel arbitraire des nœuds du réseau principal, et a repensé le processus d’approbation des tokens afin que les dépôts futurs utilisent une approbation pour des montants précis plutôt qu’une permission infinie.