Un exploit sophistiqué visant Drift Protocol semble avoir vidé environ 285 millions de dollars après qu’un attaquant a manipulé les prix d’oracle à l’aide d’un jeton fabriqué, exploité une clé d’admin compromise et disabled core withdrawal safeguards.
Faux collatéral préparé des semaines à l’avance
Selon une analyse on-chain partagée par le chercheur indépendant Ares, l’exploit a commencé plusieurs semaines avant le vidage effectif. L’attaquant a minté 750 millions d’unités d’un faux actif appelé « CarbonVote Token » (CVT) et a créé un pool de liquidité sur Raydium (RAY) avec seulement 500 $ de liquidité, fixant artificiellement son prix proche de 1 $.
Pendant plusieurs semaines, l’attaquant aurait fait du wash trading sur le jeton pour construire un historique de prix on-chain crédible, permettant aux mécanismes d’oracle de le prendre en compte comme une valeur de collatéral légitime.
Compromission de la clé d’admin et désactivation des garde-fous
Le 1er avril, l’attaquant a utilisé une clé d’admin Drift compromise pour lister le CVT comme marché spot. Dans la même transaction, les seuils de garde de retraits sur plusieurs marchés ont été relevés à des niveaux extrêmes, désactivant de fait les limites conçues pour empêcher de fortes sorties de fonds.
À lire aussi : Bitcoin Redistribution Phase Echoes Q2 2022 Bear Market - Glassnode Report
L’attaquant a ensuite déposé environ 785 millions de CVT, valorisés à 785 millions de dollars sur la base du prix d’oracle manipulé, sur plusieurs comptes.
Coffres vidés en quelques minutes
En utilisant ce collatéral gonflé, l’attaquant a exécuté 31 transactions de retrait en environ 12 minutes, vidant des actifs à travers de multiples coffres.
Cela incluait 66,4 millions de dollars en USDC, 42,7 millions de dollars en JLP, 23,3 millions de dollars en MOODENG (MOODENG) ainsi que de plus petits montants d’autres jetons.
Les fonds ont ensuite été consolidés, partiellement brûlés via le retrait de liquidité perpétuelle et convertis en SOL avant d’être répartis sur de multiples portefeuilles.
L’utilisation de plusieurs clés de signature suggère soit une compromission plus large de l’infrastructure opérationnelle, soit un accès à des identifiants privilégiés, ce qui soulève de nouvelles inquiétudes concernant les contrôles de sécurité internes.
À lire ensuite : CLARITY Act Stablecoin Deal Could Come Within 48 Hours, Coinbase CLO Predicts