B14g a perdu environ 97 millions de CORE, d’une valeur de 1,47 million de dollars, après qu’un attaquant a utilisé des demandes de retrait à montant nul pour vider 91 positions de staking en une seule transaction, le 31 octobre. La plateforme a suspendu les contrats concernés et coordonne ses efforts avec l’équipe Core, des partenaires spécialisés en sécurité et des plateformes d’échange pour récupérer les fonds.
Pourquoi c’est important
Bitquery a découvert que l’attaque exploitait le fonctionnement du contrat de staking de Core : une demande de retrait de zéro token pouvait déclencher le retrait de la totalité du solde mis en staking. L’attaquant a soumis 99 demandes de ce type pour des positions qu’il n’avait pas alimentées, et le contrat de b14g les a exécutées. Cette logique aurait été en place depuis environ 17 mois. Bitquery a précisé ne pas avoir examiné le code source de b14g et ne pas être en mesure d’identifier l’erreur de programmation exacte.
L’incident s’est limité aux dépôts en CORE. Les bitcoins mis en staking via b14g sont restés verrouillés dans le temps sur la blockchain Bitcoin et n’ont pas été affectés. Core DAO a indiqué que sa blockchain, son mécanisme de consensus, ses validateurs et ses contrats de staking continuaient de fonctionner normalement.
Impact sur le marché
Environ 68 millions de CORE restaient immobiles dans trois portefeuilles le soir du 31 octobre, tandis que b14g a déclaré que des plateformes d’échange partenaires avaient gelé environ 9 millions de CORE. Les données de la blockchain montrent que la plateforme a suspendu les contrats concernés environ 66 minutes après l’exploit. Durant cet intervalle, 23 millions de CORE ont quitté le portefeuille initial et transité par de nouvelles adresses. Bitquery a suivi une partie des fonds jusqu’à des adresses liées à des infrastructures de plateformes d’échange, tout en précisant que certains portefeuilles traitaient aussi les actifs d’autres clients.
b14g s’est engagé à publier un rapport après incident couvrant la cause technique, les pertes des utilisateurs et les prochaines étapes, mais n’a pas annoncé de plan d’indemnisation. Les efforts de récupération et les explications promises constituent des éléments déterminants pour les déposants concernés.
Questions fréquemment posées
-
Comment l’attaquant a-t-il vidé les positions de staking en CORE de b14g ?
L’attaquant a soumis des demandes de retrait à montant nul. Le contrat de staking de Core a interprété une demande de zéro token comme un ordre de retirer la totalité du solde mis en staking, et le contrat de b14g a exécuté ces demandes.
-
Combien de CORE ont été dérobés et combien de positions ont été touchées ?
Environ 97 millions de CORE, d’une valeur de 1,47 million de dollars, ont été retirés de 91 positions de staking en une seule transaction.
-
Les dépôts en Bitcoin ou la blockchain de Core ont-ils été touchés ?
L’attaque s’est limitée aux dépôts en CORE. Les bitcoins mis en staking via b14g sont restés verrouillés dans le temps sur Bitcoin, et Core DAO a indiqué que sa blockchain et ses activités de staking continuaient de fonctionner normalement.
-
Quelle quantité de CORE dérobés a été gelée ou reste immobile ?
Le soir du 31 octobre, environ 68 millions de CORE restaient immobiles dans trois portefeuilles. b14g a indiqué que des plateformes d’échange partenaires avaient gelé environ 9 millions de CORE.
-
b14g a-t-il annoncé une indemnisation pour les déposants concernés ?
Aucun plan d’indemnisation n’a été annoncé. b14g s’est engagé à publier un rapport après incident sur l’exploit, les pertes des utilisateurs et les prochaines étapes.
TheBlock
WatcherGuru
WuBlockchain