Les pirates drainent plus de 100 millions de dollars de Curve et le trading de CRV est suspendu

Curve, une plate-forme stable au cœur de l'écosystème DeFi d'Ethereum, a subi un piratage fin juillet, a rapporté CoinDesk, citant un tweet du projet. Le montant ci-dessus est menacé en raison d'un bug de « réentrée » dans Vyper, un langage de programmation derrière certains composants de l'écosystème Curve.

Au moment de la rédaction de cet article, un certain nombre de pools de pièces stables du système avaient été vidés par des pirates informatiques. Ces pools ont été utilisés pour fixer le prix et fournir des liquidités pour quelques services DeFi différents.

Un bug de réentrée est un type de vulnérabilité logicielle qui se produit dans les programmes simultanés ou multithread. C'est là que le code d'une application peut être interrompu et ressaisi avant la fin de son exécution précédente, conduisant potentiellement à un comportement inattendu et indésirable.

Les bogues de réentrée se manifestent généralement en raison du partage de ressources, de l'asynchronisation et de l'exécution entrelacée. Plusieurs threads ou processus partagent souvent des ressources communes, telles que des variables globales, des objets ou des structures de données.

Si les ressources partagées ne sont pas correctement synchronisées ou protégées, il devient possible pour un thread d'interrompre un autre thread alors qu'il est en train d'utiliser ou de modifier la ressource partagée.

Lorsqu'un thread est interrompu et qu'un autre thread prend le relais, il peut accéder et modifier la ressource partagée d'une manière qui n'était pas prévue ou attendue.

La cause exacte du bug n'est pas connue pour le moment, mais un certain nombre d'échanges ont déjà interrompu la négociation du jeton CRV de Curve Finance, comme le sud-coréen Upbit, qui a annoncé :

Des vulnérabilités similaires sont attendues pour d'autres projets utilisant Vyper. Au moment de la rédaction de cet article, l'auditeur blockchain BlockSec estimait les pertes totales à plus de 42 millions de dollars.

Selon le site Internet de Curve, l'entreprise exploite 232 piscines, mais une fraction d'entre elles est à risque.

Le piratage a entraîné une baisse du jeton CRV de 12,60 % au cours des dernières 24 heures. Il se négocie actuellement à 0,64 $ selon Coinmarketcap.

Il existe également un risque de liquidation de la position d'emprunt de 70 millions de dollars du fondateur de Curve sur Aave en raison du braquage.