Exploitation du pont Ankr : 303 000 $ perdus suite à des retraits non autorisés sur Optimism

Incident de sécurité du pont inter-chaînes Ethereum d'Ankr

Le 9 novembre, le pont inter-chaînes Ethereum d'Ankr a été victime d'une exploitation, entraînant cinq retraits non autorisés qui ont drainé plus de 303 000 $ d'actifs cryptographiques. Cet incident soulève des questions sur le processus de vérification des transactions du pont.

La société de sécurité blockchain Blockaid a identifié l'attaque et a rapporté qu'un attaquant avait utilisé un petit dépôt sur Optimism pour retirer des actifs verrouillés dans le pont Ethereum d'Ankr.

L'estimation initiale des pertes était d'environ 292 000 $, mais une analyse ultérieure des tokens retirés a révélé une valeur combinée supérieure à 303 000 $.

Détails de l'attaque

Blockaid a détecté une exploitation en cours sur Ethereum, où l'attaquant a soumis cinq demandes de retrait sur le pont inter-chaînes d'Ankr, utilisant un petit dépôt sur Optimism pour débloquer l'inventaire total verrouillé du pont vers un nouveau portefeuille. Les retraits ont eu lieu entre 3h09 et 3h12, heure de l'Est, avec des transactions envoyant différents tokens vers le même portefeuille de destination.

Les actifs concernés comprenaient les tokens de staking liquide d'Ankr ainsi que son token natif, ANKR. Les enregistrements de transaction montrent que l'attaquant a retiré environ 82,91 ankrETH, d'une valeur de 216 370 $, ce qui représente la plus grande partie des pertes signalées.

Un autre retrait a concerné 515 206 tokens ankrPOL, d'une valeur de 56 372 $, tandis qu'environ 7,98 millions de tokens ANKR représentaient 30 857 $. Deux autres actifs, 5 372,25 aMATICb et 0,8196 aETHb, ont également été transférés pendant l'attaque, mais leurs valeurs n'ont pas été incluses dans l'estimation de 303 600 $.

Analyse des failles de sécurité

Le total représente donc la valeur estimée de trois actifs tarifés, et non le montant que l'attaquant a nécessairement converti en d'autres cryptomonnaies ou en espèces. Les cinq retraits ont néanmoins retiré les avoirs en tokens listés du pont du contrat Ethereum affecté. À 3h49, heure de l'Est, l'historique des transactions du pont ne montrait plus d'activité après les retraits suspects.

Le pont inter-chaînes d'Ankr permet normalement aux utilisateurs de déplacer des actifs de staking liquide entre les réseaux blockchain. Un utilisateur dépose des tokens sur le réseau d'origine avant de soumettre la transaction pour vérification via le backend d'Ankr, qui fournit l'autorisation nécessaire pour libérer des actifs sur le réseau de réception.

Les transactions signalées ont néanmoins passé les vérifications d'autorisation du pont, permettant à l'attaquant de retirer des tokens du contrat Ethereum. L'implémentation du pont nécessite l'approbation d'un signataire désigné avant de traiter les retraits. Bien que les cinq transactions aient été acceptées, les enregistrements disponibles ne permettent pas d'établir comment l'attaquant a obtenu une autorisation valide.

Conséquences et réactions

Cet incident soulève des questions sur l'étendue de la violation, notamment si les contrats affectés partagent une infrastructure avec d'autres produits d'Ankr. Au moment de ce rapport, il n'y avait aucune confirmation que l'exploitation avait compromis l'infrastructure RPC d'Ankr ou les portefeuilles personnels des utilisateurs.

Crypto.news a contacté Ankr pour obtenir des commentaires, mais la société n'avait pas répondu avant l'heure de publication. Ankr avait précédemment été confronté à un autre incident de sécurité impliquant son infrastructure de staking liquide.

En août, une vulnérabilité dans son contrat ankrFLOW a permis à un attaquant de créer des millions de tokens non garantis, entraînant environ 410 000 $ de pertes pour MORE Markets.

D'autres opérateurs de ponts ont également rencontré des problèmes d'autorisation de transaction cette année, soulignant la nécessité d'améliorer la sécurité dans le domaine des cryptomonnaies.