Peckshield : 5,25 millions de dollars ont été détournés d'Hedera et transférés vers Ethereum dans le cadre d'une exploitation présumée

Les chiffres commencent enfin à émerger

Peckshield a signalé que le réseau Hedera avait été piraté, citant des conclusions révélées pour la première fois par l’analyste en sécurité Specter. Selon l’alerte, 5,25 millions de dollars de fonds volés ont déjà été transférés du réseau principal d’Hedera vers Ethereum.

À l’origine, le pirate avait approvisionné son portefeuille avec 1 ETH provenant de Tornado Cash, un service de mixage qui masque la trace des transactions cryptographiques. Le portefeuille contient désormais environ 2 360 ETH, d’une valeur de 4,25 millions de dollars, ainsi que 15,58 wrapped bitcoin (WBTC), une version tokenisée du bitcoin négociée sur Ethereum, d’une valeur avoisinant le million de dollars.

À ce jour, Hedera n’a pas confirmé publiquement l’incident, et l’ampleur totale du vol, au-delà des fonds transférés via le pont, reste incertaine. Le HBAR, le token natif du réseau, s’échangeait à près de 0,07 $ le 11 juillet, en baisse de près de 3 % au cours des dernières 24 heures.

La réaction modérée des cours semble refléter le caractère précoce de la situation, car ni le vecteur d’attaque ni les applications touchées n’ont été identifiés publiquement, et on ignore encore si ce sont les comptes des utilisateurs ou la liquidité au niveau du protocole qui ont subi la perte.

Un scénario déjà vu

Le schéma consistant à alimenter un portefeuille via un mixeur, à passer à l’attaque, puis à transférer le butin vers Ethereum est devenu un scénario classique ces dernières années. En effet, les exploits visant les ponts inter-chaînes ont dépassé les 328 millions de dollars au cours des cinq premiers mois de l’année, Bitcoin.com News ayant rapporté plusieurs incidents de ce type au cours du mois dernier. Plus récemment, un attaquant a converti 11,5 millions de dollars d’actifs Verus volés en ether en utilisant une configuration Tornado Cash presque identique.

Ce n’est pas non plus le premier incident de sécurité de Hedera, puisque, en mars 2023, des attaquants avaient exploité le service de contrats intelligents du réseau pour vider les jetons des réserves de liquidités d’échanges décentralisés, notamment Saucerswap, Pangolin et Heliswap. Cette attaque avait rapporté moins de 600 000 dollars, et le réseau avait déployé un correctif dans les 41 heures suivant sa découverte, un temps de réponse qui servira de référence pour évaluer la gestion de l’épisode actuel.

Au cours des prochaines heures, tous les regards seront tournés vers l’équipe d’Hedera et la manière dont elle gérera la situation, d’autant plus qu’elle n’a même pas encore confirmé la faille. De plus, il sera intéressant de voir si le pirate commence à réinjecter les 2 360 ETH via Tornado Cash. D’ici là, les 5,25 millions de dollars reposent dans un portefeuille que tous les enquêteurs on-chain du secteur surveillent désormais de près.