Un exploit sophistiqué visant Drift Protocol semble avoir drainé environ 285 millions de dollars après qu’un attaquant a manipulé les prix d’oracle en utilisant un token fabriqué, exploité une clé admin compromise et disabled core withdrawal safeguards.
Un faux collatéral préparé des semaines à l’avance
Selon une analyse on-chain partagée par le chercheur indépendant Ares, l’exploit a commencé des semaines avant le vidage effectif. L’attaquant a minté 750 millions d’unités d’un faux actif appelé « CarbonVote Token » (CVT) et a créé un pool de liquidité sur Raydium (RAY) avec seulement 500 $ de liquidité, fixant artificiellement son prix proche de 1 $.
Au fil de plusieurs semaines, l’attaquant aurait effectué du wash trading sur ce token afin de construire un historique de prix on-chain crédible, permettant aux mécanismes d’oracle de le reconnaître comme une valeur de collatéral légitime.
Compromission de la clé admin et désactivation des garde-fous
Le 1er avril, l’attaquant a utilisé une clé admin Drift compromise pour lister CVT comme marché spot. Dans la même transaction, les seuils du « withdrawal guard » sur plusieurs marchés ont été relevés à des niveaux extrêmes, désactivant de fait les limites conçues pour empêcher de gros retraits.
Also Read: Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
L’attaquant a ensuite déposé environ 785 millions de CVT, valorisés à 785 millions de dollars sur la base du prix d’oracle manipulé, répartis sur plusieurs comptes.
Des coffres vidés en quelques minutes
En s’appuyant sur ce collatéral artificiellement gonflé, l’attaquant a exécuté 31 transactions de retrait en approximativement 12 minutes, vidant les actifs de plusieurs coffres (vaults).
Cela incluait 66,4 millions de dollars en USDC, 42,7 millions de dollars en JLP, 23,3 millions de dollars en MOODENG (MOODENG) ainsi que des montants plus modestes d’autres tokens.
Les fonds ont ensuite été consolidés, partiellement brûlés via le retrait de liquidité perpétuelle, puis convertis en SOL avant d’être distribués sur de multiples portefeuilles.
L’utilisation de plusieurs clés de signature suggère soit une compromission plus large de l’infrastructure opérationnelle, soit un accès à des identifiants privilégiés, ce qui soulève de nouvelles inquiétudes concernant les contrôles de sécurité internes.
Read Next: CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts