7 millions de dollars perdus dans l’attaque de prêt flash sur BurgerSwap de BSC

Une autre application Binance Smart Chain a subi une attaque de prêt flash. Plus de 7 millions de dollars de fonds d’utilisateurs ont été drainés de BurgerSwap la nuit dernière.

BurgerSwap subit une attaque

Les attaquants de prêts Flash ciblent de plus en plus les applications Binance Smart Chain. Cette fois, c’est le clone d’Uniswap BurgerSwap qui a été exploité. Hier soir, un attaquant a emprunté des fonds à PancakeSwap déséquilibrer les pools de liquidité sur BurgerSwapm puis les vider avant de restituer le prêt.

BurgerSwap a publié une ventilation de l’incident sur Twitter plus tôt ce matin.

1/9

Détails de l’attaque de prêt Flash BurgerSwap:

Vers 3 heures du matin le 28 mai (UTC + 8) #BurgerSwap sur la chaîne BSC a rencontré une attaque de prêt flash; 7,2 M $ ont été volés à #BurgerSwap dans 14 transactions;

– BurgerSwap (@burger_swap) 28 mai 2021

L’attaque valait environ 7,2 millions de dollars. Certains des fonds sont maintenant sur la blockchain Ethereum, tandis que certains jetons BURGER ont été laissés sur Binance Smart Chain. BurgerSwap est l’une des principales applications de Binance Smart Chain. Il a été lancé l’année dernière et a un code similaire au V2 d’Uniswap. Cependant, comme l’a noté Hayden Adams, fondateur d’Uniswap, le code de BurgerSwap manque une ligne cruciale chargée de sécuriser ses pools de liquidités. Adams a réagi à l’attaque en notant que les pools étaient très sensibles à ce type d’attaque de prêt flash sans la ligne de code avant d’ajouter «iWoNDerWhYTHeyDiDtHAt».

Ce fil semble compliqué. Voici ce qui s’est passé très simplement.

Uniswap v2 fork a supprimé la seule ligne qui applique x * y = k du noyau:

Le noyau pourrait donc être drainé de manière très simple.

Voici la ligne qui a été supprimée:https://t.co/iN3nc1xMTm

je me demande pourquoi ils ont fait ça https://t.co/B9TN3KP25U

– Hayden Adams 🦄 (@haydenzadams) 28 mai 2021

De nombreux projets Binance Smart Chain ont récemment subi des exploits et les soupçons de travaux internes sont très élevés. Dans certains exemples, comme le cas d’Uranium Finance, des parties clés du code utilisé par d’autres projets ont été omises ou modifiées. Uranium Finance et BurgerSwap sont gérés par des équipes anonymes, ce qui réduirait la responsabilité en cas de travail interne.

Meerkat Finance, une copie de Yearn Finance, a subi un tirage de tapis présumé d’une valeur de 30 millions de dollars. La semaine dernière, Bunny Finance a été exploitée par une attaque de prêt flash, menant le prix de la gouvernance BUNNY token à baisser de 96%.

Cette année seulement, les pertes totales dues aux attaques contre les projets Binance Smart Chain se chiffrent désormais confortablement à des dizaines de millions de dollars.

Avertissement: l’auteur détenait BTC, ETH et plusieurs autres crypto-monnaies au moment de la rédaction de cet article.