Cours de BNB

Par Rekt News    Compilé par : Deep Tide TechFlow   Cliquez ici pour une perte de 13 millions de dollars. Une baleine de Venus Protocol vient d’apprendre de l’expérience éprouvante que les appels Zoom peuvent coûter plus cher que votre prêt hypothécaire. Un client vidéo malveillant, une signature parfaitement synchronisée, 13 millions de dollars ont disparu plus vite que l’annonce du rug pull. Mais le rebondissement de l’histoire est que Venus ne s’est pas contenté de regarder les utilisateurs se faire vider puis laisser indifférents. Ils ont fermé leur protocole, ont appelé à un vote d’urgence et ont terminé l’opération de sauvetage la plus controversée de l’espace DeFi en moins de 12 heures. Ce qui a commencé comme une attaque de phishing apparemment ordinaire s’est finalement transformé en une excellente masterclass sur la question de savoir si les protocoles décentralisés peuvent « pêcher et supporter ». Lorsque le sauvetage de la baleine signifie exposer un coupe-circuit caché dans le protocole, qui est vraiment sauvé ? Source : Peckshield, Protocole de Vénus, Blocksec, Kuan Sun 2 septembre, 9 h 05 UTC. Une baleine de Venus Protocol a lancé son client Zoom, prêt à donner le coup d’envoi d’une nouvelle journée dans la DeFi. Mais un logiciel vidéo apparemment innocent est discrètement piraté, donnant aux attaquants l’accès à l’intégralité de leur appareil par une porte dérobée. Pourquoi déchiffrer les codes ? Ne serait-il pas plus facile de briser directement la confiance ? La victime signe une transaction d’autorisation déléguée – une opération de routine qui se produit des milliers de fois par jour dans la DeFi. Un protocole pour gérer vos positions sans avoir accès à la clé privée. En général, la signature de ces accords est plus rapide que la lecture des conditions d’utilisation. Cliquer. Signature. Instantanément « liquidé ». De la signature à la ruine financière, en seulement six secondes. Un client vidéo piraté a ainsi confié la gestion d’un portefeuille de 13 millions de dollars à un attaquant qui a patiemment attendu l’opportunité. C’est là que s’arrêtent la plupart des histoires de phishing : les baleines souffrent, les attaquants disparaissent et les railleries des victimes sur Twitter se poursuivent pendant une semaine. Mais cette fois-ci, le plan du voleur est bien plus ambitieux qu’un simple « braquage ». Que se passe-t-il lorsque voler des millions de dollars n’est pas une satisfaction suffisante ? Opération de vol 09:05:36 UTC. Seulement six secondes après que la baleine ait signé leur « protocole de suicide crypto », les attaquants ont lancé un « chef-d’œuvre » de prêt flash. Trading de vulnérabilité : 0x4216f924ceec9f45ff7ffdfdad0cea71239603ce3c22056a9f09054581836286 L’autopsie de Venus Protocol déconstruit en détail les tactiques de l’attaquant : Étape 1 : Lightning emprunte 285,72 BTCB – après tout, pourquoi utiliser votre propre argent ? La DeFi vous permet d’emprunter des millions de fonds sans garantie. Étape 2 : Utilisez les fonds empruntés pour rembourser la dette existante de la victime, tout en ajoutant 21 BTCB sur le propre compte de l’attaquant. Ce qui semble généreux est en fait un « meurtre comptable » impitoyable. Étape 3 : Activez les autorisations déléguées L’intégralité des actifs numériques des victimes a été transférée, y compris 19,8 millions de dollars de vUSDT, 7,15 millions de dollars de vUSDC, 285 BTCB et une longue liste d’autres jetons. Tout cela est tout à fait légal, car la signature « naïve » d’il y a six secondes a été autorisée. Étape 4 : Un coup brillant. En utilisant ces actifs nouvellement volés comme garantie, 7,14 millions de dollars en USDC ont été empruntés sur la base des BNB restants de la victime. L’agresseur a non seulement vidé le portefeuille, mais a également fait payer à la victime son « vol ». Étape 5 : Empruntez suffisamment de BTCB pour rembourser le prêt flash. La transaction est terminée et l’attaquant disparaît discrètement. Une transaction automatisée, une baleine évidée, un voleur de cryptomonnaies très satisfait – qui venait de transformer les économies de toute une vie de quelqu’un d’autre en son propre parc à jouets hypothécaire. Cependant, la cupidité transforme souvent les chasseurs en proies. Que se passe-t-il lorsqu’un « vol parfait » se transforme en une « opération suicide » ? Contre-mesures 09:09 UTC. Quatre minutes après le vol de la banque numérique, les systèmes de surveillance d’Hexagate et d’Hypernative ont commencé à déclencher des alertes. Il ne s’agit pas d’une invite habituelle de « transaction suspecte détectée ». Il s’agissait d’une alerte de niveau cinq de 13 millions de dollars, et les sociétés de sécurité savaient immédiatement à qui s’adresser. La réponse de Venus Protocol ? L’option nucléaire est lancée directement. Du vol à la suspension du protocole, cela n’a pris que vingt minutes. Vénus a activé son propre coupe-circuit, gelant toutes les fonctions de base de l’écosystème. Emprunt? Arrête. Retrait? Mettre fin. Liquidation? Temps mort. Un utilisateur a été victime d’un hameçonnage et l’ensemble du protocole a été arrêté. Il ne s’agit pas seulement de contrôle de crise, c’est une bataille financière. Vénus a restreint de manière décisive sa plate-forme, essayant de piéger les biens volés aux attaquants. Chaque vToken détenu par le pirate s’est instantanément transformé en vieux papiers sans valeur, verrouillé sous l’autorité d’urgence de Venus. Mais geler l’intégralité d’un protocole DeFi pour sauver une baleine ? Une telle décision n’est pas quelque chose que l’équipe de développement peut prendre seule. C’est ainsi qu’entre la démocratie : le vote d’urgence de la gouvernance. Lorsque la communauté n’a que douze heures pour décider d’épargner la richesse d’un utilisateur par des moyens centralisés, peut-on vraiment parler de décentralisation ? Démocratie éclair Venus a non seulement suspendu le protocole, mais a également convoqué une « réunion virtuelle » d’urgence qui ferait l’envie de toute équipe de gestion de crise Web2. Ils appellent cela un « vote éclair ». Après tout, rien de mieux qu’une « gouvernance de base » comme d’écraser des millions de dollars dans des heures de débats houleux sur Discord. La proposition est simple et claire : Phase 1 : Fonction de récupération partielle (permet aux utilisateurs d’éviter d’être liquidés). Etape 2 : Liquidation forcée de la position de l’attaquant. Étape 3 : Effectuer un examen complet de la sécurité pour éviter que des incidents similaires ne se reproduisent. Phase 4 : Restauration complète des opérations de Vénus. La réaction de la communauté ? 100 % unanimité. Pas 99 %. Pas 98 % non plus. Chaque vote soutient le plan d’action de Venus, comme s’il s’agissait d’une sorte de version DeFi des résultats des élections nord-coréennes. Peut-être s’agit-il d’un véritable consensus, ou peut-être est-ce par souci d’autoprotection. Ou lorsque votre accord perd des millions de dollars pendant que les concurrents vous entourent comme des vautours, le désaccord devient un luxe que personne ne peut se permettre. Dans l’après-midi, Vénus était renforcée. Ce qui suit est l’exécution de l’opération de liquidation la plus controversée de l’histoire de la DeFi - une opération qui nécessite de contourner les règles des contrats intelligents et de saisir de force les garanties de l’attaquant. La victime est en crise à cause d’une mauvaise signature de transaction, et Vénus est sur le point de signer le « certificat de décès de la démocratie ». Que se passe-t-il lorsque le Code en tant que loi rencontre l’autorité d’urgence ? Mesures de rétablissement 21:36 UTC. Douze heures après le vol, Vénus lance leur contre-attaque. Vous vous souvenez des erreurs commises par les attaquants par cupidité ? L’utilisation de fonds volés comme garantie est sur le point de devenir l’erreur la plus coûteuse de l’histoire. Une transaction, plusieurs instructions, provoquant le plus de controverse. Liquidation : Début. Saisie d’actifs : Terminée. Liquidation : Clôturée. Venus vient de fonctionner sur une blockchain en cours d’exécution. Activez le kill switch, récupérez tous les actifs déverrouillés et détruisez toutes les preuves. Le « chef-d’œuvre » de l’agresseur est finalement devenu sa propre condamnation à mort. Ces garanties volées sont en sécurité dans la piscine de Vénus ? Soudain, le nouveau pouvoir de « liquidation d’urgence » du protocole est devenu un jeu équitable. La cupidité est une dose de poison. Voler des millions, les utiliser comme garantie, puis être liquidé par vos propres fonds volés. 21:58 UTC. Restauration légère. Les fonds sont récupérés. La crise est levée. Mais plus personne ne parle de pertes d’une valeur de 13 millions de dollars. Les gens parlent de la façon dont Vénus prouve que la « décentralisation » n’est rien de plus qu’un slogan marketing au cours de ces 12 heures. Il s’avère que votre protocole DeFi imparable dispose d’un frein d’urgence très bloquable - et ils n’hésitent pas à l’utiliser lorsque le coût est suffisamment élevé. Qui est renversé quand une révolution a besoin d’un roi pour la soutenir ? La victime a pris la parole « Bien qu’on puisse le considérer comme un imbécile, il vaut mieux garder le silence que de parler et de dissiper tous les doutes. » Il s’agit du profil Twitter de Kuan Sun, le fondateur d’Eureka Crypto et la victime du vol de 13 millions de dollars. En parlant de « stupidité », il a posté un article de synthèse détaillé expliquant comment exactement il a été trompé. Venus Protocol a également confirmé qu’il était bien celui qui avait été victime de l’attaque de phishing. Cette méthode d’ingénierie sociale est très diabolique. Les attaquants ont commencé leur mise en réseau en avril de cette année, en piratant un contact de « Stack Asia BD » que Sun Kuan a rencontré lors d’une conférence à Hong Kong. Quelques mois de patience ont ouvert la voie à l’établissement progressif d’une relation de confiance familière mais pas trop intime. Le client malveillant de Zoom a depuis longtemps donné à l’attaquant l’accès à son appareil. Lors d’une fausse réunion : « Votre microphone ne fonctionne pas, veuillez le mettre à niveau. » « Il s’agit d’une autre escroquerie à plusieurs niveaux qui couvre les attaquants opérant en arrière-plan. Par la suite, le navigateur Chrome se bloque de manière inattendue. « Restaurer l’onglet ? » Cliquer. D’une manière ou d’une autre, sa fidèle extension de portefeuille Rabby a été remplacée par une fausse version qui a supprimé tous les avertissements de sécurité. Vénus se retire, comme il l’a fait des milliers de fois auparavant. Mais cette fois, il n’y a pas d’avertissements de risque, pas d’aperçus de démos de trading et pas de contrôles de sécurité. Le front-end compromis déguise une opération d’autorisation en transaction ordinaire. Les portefeuilles matériels n’ont pas d’importance. Les caractéristiques de sécurité de Rabby ne sont pas non plus importantes. Lorsque le frontend est empoisonné, même les paramètres de sécurité les plus stricts ne peuvent que créer un faux sentiment de sécurité. Pour aggraver les choses, selon les souvenirs des victimes, l’attaque aurait été menée par le groupe Lazarus, un groupe de piratage d’élite nord-coréen qui mène des activités terroristes dans l’espace des crypto-monnaies depuis des années. Cette fois-ci, il n’a pas été pêché par un rookie, mais a été vaincu avec précision par des experts nationaux en guerre numérique, qui ont peut-être peaufiné ce processus d’attaque à la perfection. Aujourd’hui, il remercie Venus Protocol, PeckShield, SlowMist, Chaos Labs, Hexagate, HyperactiveLabs, Binance et d’autres qui l’ont aidé à récupérer ses fonds. C’était une fin heureuse, grâce à un accord qui était prêt à enfreindre ses propres règles lorsqu’il s’agissait d’intérêts personnels. Y a-t-il quelqu’un dans la DeFi qui soit vraiment en sécurité lorsque les pirates les plus sophistiqués au monde peuvent tromper les portefeuilles matériels et les utilisateurs soucieux de la sécurité ? Vénus a à la fois sauvé la baleine et brisé le rêve de la décentralisation en une seule transaction. Douze heures de chaos de coordination ont prouvé que derrière chaque protocole dit « décentralisé » se cache un « bouton de panique » centralisé caché par des mécanismes de gouvernance. Bien sûr, la communauté a voté, mais lorsque le consensus à 100 % est plus rapide que le débat sur les frais de gaz sur Discord, vous avez assisté à la plus grande magie de la démocratie : faire passer l’autocratie pour une prise de décision collective. Les attaquants sont revenus les mains vides, les baleines ont récupéré leurs richesses et Vénus a montré qu’ils pouvaient renverser leur code à tout moment face à l’immense pression numérique. La mission est accomplie et la réputation est ruinée. La vraie tragédie n’est pas que quelqu’un soit tombé dans le piège de l’escroquerie par hameçonnage Zoom, mais que les protocoles que nous prétendons toujours avoir des autorisations d’urgence sont fondamentalement différents du système financier traditionnel qu’ils prétendent remplacer. Si la décentralisation meurt une fois qu’elle devient gênante, a-t-elle vraiment existé ?